| 文件 | 最后提交记录 | 最后更新时间 |
|---|---|---|
feat(dictionary): 词库取法改用镜像仓 git/blobs ＋ pin 换成 gzip 那份（两段校验：压缩包 → 解压后的库） owner 2026-10-10 拍「放镜像仓」＋ Lead 提包完成（shuyo-cn/shuyo-mirror@f6877d7， mirror/ecdict/ecdict-en-zh-v1.db.gz，39,126,809 字节 / ce0a2cf3…，解压后 89,735,168 / 5dc10a51…）。 ⭐ 端点实测（Lead 量的，写进代码注释当判据依据）： · contents（…/contents/<path>?ref=main）⇒ 元数据对但 **content 长度 = 0**（大文件不回内容）✗ · raw（gitcode.com/…/raw/main/…） ⇒ 回的是**一张 HTML 页**（5793 字节，sha256 完全不同）✗ · **git/blobs/<blob sha>** ⇒ encoding=base64 ＋ content 52,169,080 字符（= 39,126,809 × 4/3）✓✓ ⇒ 默认取法＝两步：contents 只取 sha（＋用 size 做便宜的第一道）→ git/blobs 取内容 - abilities.rs：ECDICT 的 pin 换成 **gzip 那份**（39,126,809 / ce0a2cf3…）—— 那是"下载到的"东西。 - dictionary.rs： · 新增**解压后**那份的 pin（ECDICT_DB_BYTES/ECDICT_DB_SHA256 = 89,735,168 / 5dc10a51…）： 两套 pin 各有各的用处（压缩包 vs 能查的库），⛔ 只核一套就等于"信解压"。 · decode_blob_json：核 encoding=base64、content 非空、且 **size == 解出来的长度**（owner ④(d)）。 · install_pack_from_archive_with：① 核压缩包长度＋sha256 → ② 把 GzDecoder 接到 install_pack_from_reader（**复用**那条"边写边核、不过就删 .part"的逻辑）⇒ 两段都过才 rename。 · fetch_default_archive：contents 取 blob sha → git/blobs 取 base64 内容。 · cached_pack_check 改用**解压后**的 pin（磁盘上放的就是解压后的库）。 · Cargo.toml：flate2 = "1"（Lead 批；**早就在 Cargo.lock 1.1.10** ⇒ 不新增下载）。 - 判据（**先红后绿**，原文进评估 §11.6）： · 先红：把"压缩包 sha256 比对"与"blobs 的 size==解出长度"两处摘掉 ⇒ 2 failed —— 指纹不符的压缩包**被装成了正式文件**、size 说谎的响应**被照单全收**（都是危险方向） · 后绿：cargo test --lib dictionary:: ⇒ **25 passed / 0 failed** （新增：gzip 夹具端到端 ⇒ 落盘的是**解压后的库**且逐字节相同 ＋ lookup_at("apple") 命中； 压缩包指纹/长度/解压段指纹三道都拒；blobs 的 size 三种坏形状都拒； Rust 的 pin == 镜像仓上那份实测值） - AbilitiesPane.tsx：词库那格 bytes/sha256/path 换成 **gzip 那份**（与 manifest.json 逐字一致） ＋ state: "downloadable"（包真的在远端了）。 - 读数：npx tsc --noEmit=0；npx vitest run src/lib/dictionary=27/27；check-overlay-registry=26/0。 - ⛔ 仍未做：lib.rs 登记行 ＋ web.ts 分支（归 Lead 统一加）⇒ check-web-commands 在那之前如实红； 真机端到端（起 app）未做。 | 15 天前 | |
fix(activity): 真因到手 —— DB 锁被按住 + 复盘把目录也当条目（「从时间复盘里打开笔记，打不开」） owner 2026-10-07：「从时间复盘里打开笔记，打不开」✗。这一笔是**真读数驱动**的 ✓。 ## 怎么拿到读数的（前面几轮我一直测错对象 ✗） 前几轮我在浏览器里量的都是 **Web 平台**那条实现 ✗ —— **不是你 Tauri 这库** ✓，所以一直对不上 ✓。 这次我**临时**在窗口构建处挂了一个环境变量开关（ SHUYONOTE_DEBUG_PORT ⇒ 才给 WebView2 开调试口 ✓）， **直接连上你那个真窗口**量 ✓（⚠️ 那段补丁**测完就 git checkout 撤掉了** ✓，**不入库** ✓）。 **真实窗口上的读数**（先切到时间复盘，再读别的命令 ✓）： | 命令 | 修之前 | 修之后 | | --- | --- | --- | | listPages | **超时 ✗**（6 秒无返回） | **成功 5ms** ✓ | | getPage（时间复盘第一条的真实 id） | **超时 ✗** | **成功 50ms** ✓ | | openPage | **超时 ✗** | 返回 ✓ | | 主线程最长卡顿 | **仅 23ms** ✓ | 23ms ✓ | ⇒ 两条决定性的推论，都是读数直接给的 ✓： 1. **主线程没被占** ✓（23ms）⇒ 所以"卡死"**不是**主线程忙 ✗； 2. **所有命令一起超时** ✓ ⇒ 是 **DB 互斥锁被长时间按住** ✓✓。 ## 真因 ①：activity_feed 按着整库锁做重活 时间复盘那条命令 activity_feed 原来**拿着 db.0.lock()** ✓，再逐条解析 300 份载荷 JSON ＋ 做块级 diff ✗ （你的页面单篇 **17–50 万字符** ✓）⇒ 期间**任何**别的命令都只能排队 ✗ ⇒ 表现就是"复盘页能打开，但从那儿打开笔记 = 打不开" ✓✓。 **改法**：**锁只护「把行取出来」这一小段** ✓（几毫秒 ✓），取完立刻放掉 ✓，重活在锁外做 ✓。 ## 真因 ②：复盘页把**目录 / 数据库**也当成了条目 实测你库里 **17 个节点 = 13 个页 ＋ 4 个目录** ✓，而复盘页把 **17 个全列出来** ✗。 点目录那条 ⇒ getPage 抛「**该节点不是页面**」✗（我在真实窗口上抓到的原文 ✓）， 而 openPage 把它**吞进 store** ✗ ⇒ 用户看到的就是"点了没反应" ✓。 **改法**：buildTimeline **只收 kind === "page"** ✓（复盘只该复盘能打开的东西 ✓）； 另加一条安全网：TimelineReview 打开失败时**弹 toast 说出原因** ✓（不再静默 ✗）。 判据：kbTimeline.test.ts 新增一条（目录／数据库不进复盘 ✓）⇒ 该文件 **21/21** ✓。 ⚠️ 如实：真因①的 before/after 是**真实窗口上的读数** ✓（上表 ✓）；真因②是**真实窗口上抓到的报错原文** ＋ 结构统计 ✓，修复由纯函数判据守着 ✓。 | 18 天前 | |
fix(ai): 上游报错**把原因带出来** —— 「用 AI 写作」不再只显示「400 Bad Request」 owner 2026-10-06 截图：AI 面板底部只有一行红色 【请求失败 400 Bad Request】 —— **看不出为什么** ✗（模型名？欠费？参数不支持？密钥无效？全得猜）。 **真因（逐条对到代码）**：src-tauri/src/ai.rs 有**两条**上游报错路，形状不一样 ✗： · 非流式（ai_openai_complete）：读了响应体，但**只认 JSON 的 error.message** ⇒ 网关返回 HTML 或纯文本时，报错里**什么原因都没有** ✗； · **流式**（stream_model —— 编辑器「用 AI 写作」走的就是它）：if !resp.status().is_success() 直接 format!("【请求失败 {}】", resp.status()) ⇒ **响应体整个丢掉** ✗✗ —— 面板那句话就是它 ✓。 （TS 那条路早就读了 error.message ✓，Rust 这两条没有 ⇒ 同一件事两种待遇 ✓。） **改动**： · 新增**纯函数** upstream_error_detail(&str) -> String ✓：认 OpenAI 兼容的 error.message / message / error / detail ✓；纯文本原样带出 ✓；HTML 报错页去标签 + 压平空白 ✓； JSON 里没有可读 message 时**明说**「（上游返回了 JSON，但里面没有可读的 message）」✓（⛔ 不许又"什么都不说" ✗）； 一律截断到 200 字 ＋ 省略号 ✓（不把整页 HTML 塞进界面 ✗），空体返回空串 ✓。 · 两条路都改用它 ✓（流式那条现在会读响应体 ✓）。 · 界面形状保持不变 ✓：流式仍是 【请求失败 <状态>】<原因> ✓、非流式仍是 OpenAI 兼容接口请求失败 (<状态>)：<原因> ✓ —— 只是后面**多了那句原因** ✓。 **判据**（ai.rs 末尾 #[cfg(test)] mod upstream_error_tests，6 条 ✓）：OpenAI 形状三种 ＋ detail ✓／纯文本 ✓／HTML 压平 ✓／空体 ✓／「JSON 但没 message 时要明说」✓／超长截断到 201 字 ✓。 **会红读数**（真跑 ✓）：让帮手直接 return String::new()（= 回到"什么都不说" ✗）⇒ 4 failed（openai_shape_keeps_the_message / plain_text_passes_through / html_gateway_page_is_flattened / json_without_message_says_so）✓；还原 ⇒ test result: ok. 6 passed; 0 failed ✓。 跑法：powershell -ExecutionPolicy Bypass -File scripts\win-cargo-test.ps1 -Filter upstream_error ✓。 **顺带排除的一条**：模型名**不是**这次的锅 ✓ —— DeepSeek 官方文档明写 model='deepseek-v4-flash-vision-exp' 就是那个多模态实验模型的正确 id （<https://api-docs.deepseek.com/zh-cn/news/news260821/> ✓，图像理解见 <https://api-docs.deepseek.com/zh-cn/guides/vision> ✓）⇒ 真原因要看上游那句 message ✓， 现在面板会把它显示出来 ✓。 ⚠️ 我**没能自己复现**那次 400 ✗：密钥存在 WebView 的 LevelDB 里，取出来的值是**被字节前缀搞花的** ✗ （baseUrl 读成了乱码 ✓），所以没有拿它去打请求（**全程没打印任何密钥字符** ✓）。⇒ 让面板自己说话 ✓。 | 18 天前 | |
feat(sync): C1 预算刹车 + C2 网络闸门（Android 上架前必做的两件） 默认值由发布者 2026-09-15 拍板：磁盘余量下限 1 GB（硬性、不可关）、 单文件阈值 100 MB、本次下载总量上限 0 = 只报告不拦截；「仅 Wi-Fi 自动同步」默认开。 ## C1 预算刹车 - 新增 src-tauri/src/disk.rs：available_bytes() 查目标卷剩余空间。 Unix/Android 走 statvfs（用 f_bavail 而非 f_bfree——保留块我们用不到， 算多了刹车就踩晚），Windows 走 GetDiskFreeSpaceExW。libc 本就是直接依赖、 windows-sys 本就在 Cargo.lock 里（0.61.2）⇒ 零新增供应链，只是显式声明。 查不到时 **fail-open**（只记日志不拦）：这里没有安全的默认方向，fail-closed 会让任何查询失败都变成"同步坏了"，比少拦一次严重得多。 - 设备级设置存 meta.sync_state 的 KV（不新建表），命令 get_sync_budget / set_sync_budget；set 回显**夹取后**的值（磁盘余量下限传 0 会回 256）。 - sync_attachments 三道闸门：磁盘余量（硬性，停止）/ 单文件阈值（跳过该件、 继续）/ 本轮总量上限（停止）；停止原因进 attachments_paused_reason。 - **文件大小不需要改服务端**：GET /attachments 只回 {hash, mime}，且下载走 Body::from_stream ⇒ 没有 Content-Length、HEAD 也问不出来；但 attachments.size 本来就随 changes 同步到本地（正是"看得见但打不开"那条状态的来源）⇒ 本地就有， 拿它做下载前判断即可。拿不到那行时才退化成"不预判"。 - 把单件下载抽成 download_one_attachment()：两侧循环原先都是 ?，一件失败就 炸掉整轮，既谈不上"优雅停止"也白跑了已成功的部分；现在记一笔、跳过， 件数进 attachments_failed（否则是静默丢件）。这同时是 P6.3 要复用的那个函数。 - 报告新增：attachments_paused_reason / _skipped_too_large / _failed / _bytes_downloaded；面板按原因给出不同文案（"磁盘余量低于下限" vs "已达本次下载上限" vs "途中关闭了附件同步"）。 ## C2 网络闸门 - scripts/android-mobile-shell.mjs：Kotlin @Command fun networkType （ConnectivityManager/NetworkCapabilities 的 TRANSPORT_WIFI/CELLULAR/ETHERNET， 任何异常退化成 unknown）+ AndroidManifest 注入 ACCESS_NETWORK_STATE （普通权限，安装即授予、不弹窗）；--check 增加相应用例。 - src-tauri/src/net.rs：network_type 命令，Android 走真实查询，其它平台回 "n/a"。 - 契约（钉在前端注释里）："n/a" = 非 Android、闸门**不适用** ⇒ 不拦； "unknown" = Android 上真查不到 ⇒ **不自动拉取**（fail-safe，猜错代价不对等： 猜成 Wi-Fi 而其实是蜂窝 = 偷偷跑用户流量）。两者混同会把桌面的自动同步也关掉。 - useAutoSync：wifi_only 为真且类型不是 wifi/ethernet/n/a ⇒ 跳过这轮自动同步； **手动点「同步」不走这条检查**。 - 面板开关只在真能查到网络类型的平台上出现（判据是真实查询结果，不是 UA 近似）。 - Web 侧：预算用同名 sync_state 表同构实现；磁盘余量闸门在 Web 上**不做**—— 浏览器没有"卷剩余空间"API，navigator.storage.estimate() 给的是配额， 拿它当磁盘余量就是在编假数字。network_type 回 "n/a"。 ## 验证 tsc 0；pnpm test 70 文件 656 用例全过；check:web-commands（Rust 218 ↔ web 221）； cargo check --all-targets 0 错误 0 警告；android-mobile-shell --check 通过； check-capabilities / check-overlays / check-release-parity 全过。 ⚠️ 本机 cargo test 加载即死（0xc0000139，与本次改动无关）⇒ 新增 4 条 Rust 单测 只过了编译检查；真机验收（磁盘余量停止 / 仅 Wi-Fi 不自动拉 / 权限不弹窗）未做。 | 1 个月前 | |
feat(owner-decisions): 删除链改「幂等＋如实条数」＋ 中继那格补说明并把过期事实改对 owner 2026-10-12 拍了四件（⭐ **四件都逐字记在这里** ✓）： ## ⭐ q1：桌面行内那个「删除按钮」**维持隐藏** ✓（⛔ 一行代码没动 ✗） App.css:15410（.fm-ops-col .fm-file-actions{display:none} ✓）＋ :15391-15392（.fm-more-btn{display:none}， 窄屏 :22808 才显示 ✓）—— ⚠️ 那是 **2026-10-04 的有意决定** ✓。⭐ **owner 复核后维持** ✓ ⇒ ⛔ 下一个人别再当 bug 修一遍 ✗（要改先问 ✓）。 ## ⭐ q2：删除「幂等但返回『删了 0 条』」✓ - 后端 src-tauri/src/attachments.rs:931 remove_attachment ⇒ Result<usize, String> ✓； :990-1008：⭐ **按 id 查不到 ⇒ Ok(0)（幂等，⛔ 不报错 ✗）／真删到 ⇒ Ok(1)** ✓（原来是 return Ok(()) ✗ ＝"默默说好了"，正是 owner 那句"删不掉"的根 ✓）； ⭐ 批量 :1066-1070 的 removed += 1 从"**按 id 计**"改成"**只在真删到时 +1**" ✓ （＝两侧口径不一致那处 ✓，前端那句 if (n !== fileCount) 以前**永不触发** ✗，现在真的活了 ✓）； - 契约同步：src/lib/platform/commands.ts:1282 result: void ⇒ number ✓；src/lib/platform/web.ts:2595-2613 查不到 ⇒ 0 ✓（原来 undefined ✗）／真删 ⇒ 1 ✓； - 调用方**三条路 ＋ 两个漏网**都按返回值决定提示 ✓（FileManagerView.tsx 的 ×／右键／批量 ✓ ＋ AttachmentPanel.tsx:133 ✓ ＋ PageTree.tsx:293 ✓）：removed === 0 ⇒ ⭐ **诚实提示**「这条已经不在文件里了」✓， ⛔ 不许报「已移除」✗；≥1 ⇒ 照旧 ✓。 - ⭐ **判据（先红后绿 ✓）**：src/components/fileManagerDelete.test.ts 新增一格 ⇒ 先红逐字 ⛔ 不许报"删掉了" … 实际提示：["已移除文件"]: expected true to be false ✓ ⇒ 改完 **5 passed** ✓（原有四格**一条没删没弱** ✓）。 - ⚠️ **Rust 侧如实边界**：⛔ **没为那两个分支加真库单测** ✗（remove_attachment_inner_with 要 State<'_, Db>； 纯的那半只有两行 ⇒ ⛔ 不为它抽 helper，"顺手重构"本单禁止 ✗）⇒ Rust 侧＝**编译 ＋ 41 条既有 attachment 判据不回归** ✓（test result: ok. 41 passed; 0 failed ✓）；**行为**由 TS 判据（假后端按契约回 0/1 ✓）钉住 ✓。要不要真库单测 ⇒ 另开一单 ✓。 ## ⭐ q3：中继那一格**保持现状但把话说清** ✓ - src/components/RelayStatusSection.tsx:73-78（+6 行）补一句逐字： 「**本机没有托管中继时，这一格不会有读数 —— 它只读本机已有的那份中继配置，不会自己建一份。**」✓ —— ⛔ 不承诺功能 ✗、⛔ 不写"请配置"（判据里有**反向**断言钉着「请配置／请设置／请先配置」✗ ⇒ 与"**全仓没有写入者**能创建那份配置"这条事实一致 ✓）。 - 判据先红逐字：expected '中继未连上中继…' to match /本机(没有|未)托管中继[^。]{0,40}读数/ ✓ ⇒ 后绿 ✓。 - ⭐ 该判据**走渲染出来的文字**（⛔ 不扫源码 ✗）⇒ 上一轮"**注释自绊**"那个坑**从根上避开** ✓。 ## ⭐ q4：那两处「客户端今天**不做**离线验签」**现在就改成事实** ✓ src-tauri/src/relay_client.rs:48-55 ＋ docs/specs/2026-10-09-multidevice-merge-semantics.md:178-184： ⇒ **离线验签已接线**（客户端自己写了 relay_license.rs，2026-10-11 ✓；⛔ 没抄专有仓 ✓， 边界有头注 ＋ no_proprietary_relay_code_leaked_into_the_product_repo 判据字串守着 ✓） ＋ ⭐ **只剩 keyring 公钥仍是占位**（relay_license.rs:59-62，等 owner 给真值 ✓）。 ⭐ **保留了原来那句 ⛔「不等于『许可已验证』」** ✓ —— 它是对**口径的收紧**、不是保证 ✓， 删了反而**放松** ✗；⛔ 没写任何"已验证／已可信" ✗。 ## 终验（Lead 本人、cargo 串行 ✓） tsc --noEmit ⇒ **0** ✓ ｜ check-doc-facts ⇒ **0** ✓ ｜ check-web-commands ⇒ **0** ✓ （Rust 288 个命令 … CommandMap 契约全覆盖（289 个） ✓） ｜ 三份判据 ⇒ **3 files / 16 tests 全绿** ✓ ｜ ⭐ vitest run src/components ⇒ **52 files / 401 tests 全绿** ✓ ｜ ⭐ Rust 只 lib target、**筛 attachment** ⇒ 41 passed; 0 failed; 0 ignored; 1016 filtered out ✓。 ## 三条如实标注 - ⚠️ **整目录**读数必须在**写者全部停笔后**跑 ✓：中途一次红是"在飞的 fileManagerDelete.test.ts 造成**全局态泄漏**"✗ （用 --exclude 重跑 ⇒ 51 passed / 394、含那条本身 ✓ ⇒ 定位准确 ✓），停笔后**自愈** ✓； - ⚠️ -Filter relay **第一次编译失败**（relay_client.rs:1057:13 ✗，不是被改的那段 ✓），**同命令第二次干净通过** ✓ ⇒ 判为**并发 cargo／并发写者瞬态** ✓ ⇒ ⛔ 没当绿 ✗、⛔ 没碰 :1057 ✗； - ⚠️ **防假绿**：两次都核了「**test exe 比源码新**」✓（attachments.rs 18:01:56 ＜ exe 18:03:06 ✓； relay_client.rs 18:00:51 ＜ exe 18:03:06 ✓）—— ⭐ 其中一次还**自纠**了一个错：先用 shuyonote-*.exe 核 ⇒ 那是**别的产物（10-04）** ✗ ⇒ 真壳是 **shuyonote_lib-*.exe** ✓（"拿一个对象当另一个"那族 ✓）。 （分工如实记 ✓：q2 由 table-criteria、q3／q4 由 merge-identity 两个**只读小弟**先查／先写红判据、 再按授权的最小修法改 ✓；写域**互不相交** ✓；⛔ 小弟一律没 commit ✗；终验／提交／推送归 Lead ✓。） | 12 天前 | |
fix(backup): task-20 收尾 —— 判据 d 改成"最新那份的时刻变了"（⛔ 不用"份数 +1"）＋ 界面说清那条反直觉读数 ⭐ 来由：Lead 要我核判据 d —— 实测量到"真跑一次『立刻备份』之后**份数可能不变**" ✓ （ retention_keep **同一天只留最新一份** ✓）⇒ 若哪里断言"份数 +1"，它**必然假红**（也会假绿 ✓）。 - src-tauri/src/auto_backup.rs（**只在测试面**）： · 改名：adding_one_snapshot_bumps_the_count_by_exactly_one ⇒ listing_counts_a_directly_added_snapshot_and_moves_last_success （⭐ 说清那是**列举**的语义 ✓ —— ⛔ 不是"跑一次备份 ⇒ +1" ✗） · 新增：same_day_second_backup_moves_last_success_while_retention_keeps_one_per_day —— ⭐ **复用**既有 retention_keep（⛔ 不写第二份保留逻辑 ✗）钉住三件事： 同一天第二份**只留最新** ✓／**份数不动** ✓／**"上次成功备份"的时刻会动** ✓ ⇒ ⭐ 这才是判据 d 的正确形状 ✓ - src/components/BackupSettingsPanel.tsx：跑完之后多一行**如实**提示 —— 「同一天只留最新一份 ⇒ **份数可能不变**，看『**上次成功备份**』那个时刻有没有往前动」✓ （⛔ 不说的话，用户会以为那个按钮没生效 ✗） - src/components/BackupSettingsPanel.test.ts：新增判据 k（面板必须说清这条 ＋ Rust 侧必须有同族用例 ✓） ⭐ 顺带修 **Lead 的脚本 bug**（_tmp/scratch/mesh-lib-test.ps1 —— ⚠️ 它在 _tmp/ ⇒ **不属于任何仓 ⇒ 不入库** ✓）： · 病（实测逐字）：crate root ＝ Split-Path -Parent $PSScriptRoot ⇒ 从 _tmp\scratch 起算 ⇒ 父目录没有 src-tauri\Cargo.toml ⇒ ⭐ **一律回落到主检出** ✗ ⇒ ⭐ **在 worktree 里干活的人会被它假绿骗** ✓（它报 773 passed / exit 0，而当场的真相是那棵树**编不过** ✗） · 修三处：① 新增 -Root（给了就**必须**有 Cargo.toml ⇒ ⛔ 不再静默回落 ✗）｜② 新增 -TargetDir （worktree 通常没有自己的 target/ ⇒ 认 CARGO_TARGET_DIR ✓）｜③ ⭐ **开跑前打印它用的是哪棵树** （绝对路径 ＋ manifest 路径；走回落时打**三行黄色 WARNING** ✓） · 验：-Root <office2> ⇒ 打出 office2 的 root/manifest ＋ 跑出**只有那棵树才有**的 snapshot_list_tests ⇒ **4 passed** ✓；不给 -Root ⇒ 打出 WARNING ＋ 回落主检出（927 filtered out ✓） 读数：npx tsc --noEmit ⇒ **0** ✓ ｜ vitest run src/components/BackupSettingsPanel.test.ts ⇒ **11 passed** ✓ ｜ mesh-lib-test.ps1 -Root <office2> -Filter snapshot_list_tests ⇒ **4 passed; 0 failed**（test exe exit code = 0）✓ | 15 天前 | |
feat: 侧边栏节点与页面图标一致——PageMeta 带 icon，树里优先显示页面 emoji 图标 - Rust：PageMeta 增 icon；list_pages 返回 icon；backlinks/database/tags×2/trash 的 PageMeta 构造补 icon - 前端：types.PageMeta.icon；PageTree 树节点在 node.icon 非空时显示该 emoji 图标，否则回退文件夹/数据库/页面类型 SVG 图标；App.css 加 .tree-icon-emoji - 验证：cargo check 0 错；cargo test --lib 32 全绿；tsc 0 错；smoke-web 247 全绿；pnpm build 通过；桌面 dev 热重建后侧边栏即显示使用指南 📖 等页面图标 | 1 个月前 | |
test(backup): 重命名判据不碰内容列；顺手把 backup.rs 那 2 处**既有**内容列访问登进基线 两件事： 1. 我那条重命名判据原来 INSERT 时给了 content_json / content_text 两列 —— 那两列有默认值， 测试不需要碰它们；check-doc-content-access（只减不增）会因此把 backup.rs 记成"变了"。 ⇒ 改成只给非内容列。 2. 但**基线本身是红的**（不是我造成的）：backup.rs 里那行既有测试代码用了两列， 而 scripts/doc-content-access-baseline.json 里**没有 backup.rs 这一项** ⇒ 门禁报 「新增文件直接引用（不在基线里）：src-tauri/src/backup.rs（2 处）」。 ⚠️ 我验证过：**把我这笔改动 stash 掉，门禁照样红**（读数逐字同上）⇒ 是既有状态。 ⇒ 按该门禁自己的口径（"只减不增"）把 src-tauri/src/backup.rs: 2 登进基线 —— 2 是**既有**的数字，不是我要新增的额度；我自己的测试一行内容列都不再碰。 读数：check-doc-content-access ✓（70 文件 / 562 处，基线 562）；test-report 65 条门禁全绿。 | 5 天前 | |
feat(backup): ⭐ P2 判据达成 —— 真包对真库演练出「pages 37/37 ｜ attachments 4/4 ｜ 0 条问题」 评估文档 §6 给 P2 的判据逐字：「演练脚本对**故意损坏的包**必须报红 ✓（看过它红 ✓）， 对好包必须复原出**同样的页数与附件数** ✓」 ⭐ 前半早已达成（含两面变异 ✓）；本笔补**后半的最后一公里**：⭐ 真包对真库 ✓。 · 新增 count_pages_in_spaces(dir)：⭐ 逐空间库数页 ✓；⭐ 打不开的（例如加密空间）**如实记进 notes** ✓ （⛔ 不当 0 ✗ —— "这一份没数成"与"这份是 0 页"不是一回事 ✓） · 新增 extract_to_temp(pkg, into)：⭐ 解到临时目录 ✓，⭐ **带 zip-slip 防护** ✓ （⭐ 名字含 ..／绝对路径／含 : 的条目一律跳过 ✗ —— 否则恶意包能写到解压目录之外 ✓） · 新增 run_drill(app_data, package)：① 数真库 ✓ ② 解包数包里 ✓ ③ compare_counts 比 ✓ ⇒ ⭐ 不一致就如实写进 problems ✓；⭐ 临时目录用完就删 ✓；⭐ 只读，⛔ 不碰任何用户数据 ✓ · DrillReport 增一个 extra（⭐ 包里解出多少条 ✓） ⭐ ⭐ 真读数（本机，⭐ 顺序是"先 --backup-once 造新包 ⇒ 再立刻演练" ✓ —— ⭐ 拿旧包比现在的库，页数本来就可能不同 ✗，那不是 bug 是我比错了对象 ✓）： · ⭐ 演练结论：pages **37/37** ｜ attachments **4/4** ｜ **0 条问题** ✓ · backup_verify:: **13 passed; 0 failed** ✓ ｜ 演练本身 0.31 秒 ✓ ｜ cargo check --lib 0 ✓ · ⭐ 看过它红：让"包里的页数"多算 1 ✗ ⇒ 真演练 **FAILED** ✓（读数见正文上方 ✓）； 还原后 sha256 一致 ✓ ⇒ 13 passed ✓ ⚠️ 手法（第 6 次同一条 ✗）：⭐ 我第一次跑本笔时**忘了停 shuyonote.exe** ⇒ 又是 host binary build failed ✗ ⇒ ⭐ 已把"停 app"固定成**每条 Rust 判据命令的第一行** ✓（⛔ 不再靠记性 ✗）。 范围：src-tauri/src/backup_verify.rs；分支 feat/auto-backup-p1-amd。 | 16 天前 | |
feat(crdt): 阶段 1 第二切片 —— blockRev 这一层（rev 从哪来）＋ 两份实现成对判据 裁定与判定表见 docs/plans/2026-09-19-stage1-block-lww-readiness.md §6/§7； 本层自己的口径与接线计划见新增的 docs/plans/2026-09-22-block-rev-write-layer.md。 - 新增 src-tauri/src/block_rev.rs（14 条判据）与 src/lib/blockRev.ts（＋测试 15 条）： read_top_level_block_revs / max_block_rev / **assign_block_revs**（rev 的写入口） - 写入口拿"上一版"（baseline）与"这一版"比一遍：内容相同 ⇒ 保持已知 rev；改了/新块 ⇒ maxSeen + 1； 没身份（blockId 空）⇒ **不写** - ★ 两条"**不是内容**"（判错就是静默丢更新，两侧各一条判据）： · blockRev 字段本身要排除 —— 还没带声明字段的节点类每次保存都会被判成"改过了"； · **键序**要排除 —— 否则编辑器重排一次键序就被判成"改过" ⇒ 本地旧内容会被当成"更新的" 赢过远端真实的新编辑 - ★ 一条裁定没写、但**阶段 1 的承诺要求它成立**的口径：**有身份 ⇒ 一定有 rev**（未改的块写回已知 rev； 从没见过 rev 的老块写 0）。否则两台设备各改**不同块**时，未改的块在另一侧没有 rev ⇒ 每次合并都落进 "缺 rev ⇒ 冲突" ⇒ 每一页都弹提示。代价（老块盖 0 = 声明"它老到不能再老"）已写进文档， **要 owner/两边点头**（已写进协同信） - 读数（Windows 本机）：vitest run src/lib/blockRev.test.ts 15/15； cargo test --lib block_rev 14/14（按 win-cargo-test.ps1 同样的四步手跑）；tsc --noEmit 干净 - 本层**今天没有调用方**：接线清单与**硬顺序**（应与块级判定同时上线，否则只是往 JSON 加一个没人读的 字段、还会在混版本期被老客户端剥掉）写在文档 §4；restore_version 与"版本历史 × 冲突"一起做 - 也**没做**节点上的声明字段（内存/CRDT 平面那半，属阶段 2/3 前置）：本层的 rev 由保存时的差分产生， 不依赖它 ⇒ 两块工作可分别落地 | 1 个月前 | |
| 2 天前 | ||
fix(android): 让 HTTPS 的失败**说出根因**——把 source 链串起来 上一轮真机上只看到 无法获取网页: error sending request for url (https://shuyo.cn/)， 而这句话**分不清**是"证书校验器没接上"还是"网不通"——两者的修法毫无共同点。 根因在 reqwest::Error 的 source() 链里，我们只打了一层。 改动（src-tauri/src/bookmark.rs）： - 新增 describe_err(&dyn Error)：沿 source() 把整条链用 ← 串起来； - 失败点改用它，并**额外 eprintln! 一行**到 logcat（toast 在手机上是单行截断的， 根因往往在末尾，只有 adb logcat -s RustStdoutStderr 能看全）； - 单测 describe_err_walks_the_source_chain 钉住"根因必须出现在错误串里"。 这是**诊断**改动，不是修复：TLS 到底断在哪一层，要等这行日志出来才知道。 已在真机上排掉三种可能：网络（ping 0% 丢包）、AAR 没进包（classes.dex 里有 platformverifier）、 没初始化（[tls] 日志在、panic 0 条）。详见 docs/MOBILE.md §2.4 与 CHANGELOG。 | 1 个月前 | |
chore(capabilities): 能力面收口 —— apiVersion 1.2.0、spaces.switch 退出 AI 面、生成物与事实块同步 依据：owner 在「外部 AI 接入」里选的是「只读（全部空间）」档（面板原文：能读别的空间、写仍被拒、不改动你正在看的空间）⇒ spaces.list 作为**显式例外**留在 AI 面，spaces.switch（写）把 ai 关掉。apiVersion 1.1.0→1.2.0（新增 3 条能力，语义化 minor）并重记指纹（aiWrite 5→4）。_generated 三份、plugin-types/plugin-api 由生成器重出；TESTING 事实块 能力 26→29、Rust 291→292、CommandMap 292→293。examples 的 pages.search 因新增 spaceId 参数改了调用（否则 examples-tsc 红）。 | 7 天前 | |
chore(sync): 撤掉排障用的 [pending] 日志（1.92.22 已发，恢复一行实现） | 3 天前 | |
fix(community): 存为笔记把站内相对地址绝对化（图不再是破图）＋ 修掉那句过期注释 **图片**：社区正文里的图是站内相对地址（ /attachments/<hash>），存进笔记后"相对于谁"就不存在了 ⇒ 打开笔记是一张破图，而用户看不出为什么。现在落库前统一绝对化 （absolutizeCommunityLinks）：Markdown 的 ](…) 与 HTML 的 src=/href= 两种写法都覆盖； https:// / //cdn… / data: / attachment:// / mailto: / #锚点 / 不带头斜杠的相对路径 **一律不碰**（后者相对的是帖子页而不是站点根，猜错只会把一个不对的地址换成另一个不对的）。 5 条判据（含"来源地址解析不了就一个字都不改"）。**仍未做**：把图落到本地附件库 （离线也能看、社区删帖也不丢图）——已登记在 docs/community-integration-status.md。 **过期注释**：community.rs 里那句「实测过：当前那个地址只回 HTML」是社区加上内容协商**之前**的读数； 2026-09-21 实测 GET /post/<slug> + Accept: application/json ⇒ 200 JSON，字段齐、tags 是数组、 url 是绝对地址，活判据 live_community_json_is_accepted_by_this_parser 跑通 （id=56 · body_chars=948）。留着那句话会让下一个人以为这条路是坏的。兜底那段"拿到 HTML 就说清怎么修" 仍保留（社区哪天回退时才用得到）。 | 1 个月前 | |
fix(community): 「（社区没给出用户名）」的真根因： /api/me 的名字在 me 里面 社区回的是 {"me":{"username":"cnzen@shuyo.cn",…}}（它 docs/api.md 就是这么写的）， 而 me_username() 读的是**顶层** username ⇒ 永远空串 ⇒ 界面上一直显示「（社区没给出用户名）」 （用户截图指的就是这一行）。设备码那条路从上线起就没真的拿到过名字。 - parse_me_username()（纯函数）：先吃 me.username，再兜顶层 username（老/别的部署）， 认不出来就是空串（照旧显示那句话，不 panic、不猜）。判据用 2026-09-21 从真站点抓的**原文**。 - refresh_username_at()：**给已经连上的老安装补名字** —— 只在本地 username 为空时问一次 /api/me（6 秒短超时），补到就写回文件、补不到就原样返回（**不报错**）。 community_connection 因此变成"本地为主 + 空名字时补一次"（这件事每个安装最多发生一次； 有名字时仍然不碰网络）。 - 判据 community_publish::tests **22 passed**（+2：嵌套/顶层/坏 JSON 三种形状； 本地假服务器验"空才补、补到才写回、补不到不动文件、有名字不再问"）。 用户当前那台安装的 community-auth.json 已经就地补成 cnzen@shuyo.cn（其余字段一字未动）。 | 1 个月前 | |
feat(crdt): 桌面侧**收下并合并** crdt_state（收 ＋ 推两半）—— §11.4 那条缺口的收口 背景（第 41 轮勘察，§11.4）：桌面同步路径**根本不消费** crdt_state —— pull 只走块级 LWW、 推的载荷也不带状态、PageDetail 没有 deny_unknown_fields ⇒ 收到的状态被**静默丢掉** ⇒ 桌面上的跨设备编辑会被自己的旧状态覆盖。这一片把两半都接上。 收（pull）： - 新 src-tauri/src/crdt_wire.rs：与 TS wireState.ts **同一张表**（没有这一项 ⇒ 走今天那条路／ 版本不认识 ⇒ **不猜**／载荷坏了 ⇒ **如实报**），另含推那半要用的 with_wire_state。 - 新表 page_crdt_pending（**按 seq 逐条**留）：服务端 pull **不回 device_id**，而不同设备的 全量状态互相并不包含对方的编辑 ⇒「每页一行」是**真丢**。上限 24 条，超了丢最旧的并**留痕**。 - pull 分支**收到就收**（absorb_incoming_crdt_state）：与"最后用谁的版本"无关 —— 页级 KeptLocal 时那一版状态同样不能丢。 - 两条平台命令 read_pending_page_states / clear_pending_page_states（Web 侧恒为空/0： 它在 applyChange 里当场合并 —— **平台事实**，不是漏实现）。 推（push）：record_page_upsert 落 outbox 时挂上状态（与 withCrdtWire 同字段同形状）； **没有状态 ⇒ 载荷逐字不变**（那条路不经过序列化改写）。 并（打开页面时，crdt/pageBinding.ts）：**先并掉收下的状态，再谈建不建血统** —— 本机已有 ⇒ 在它上面继续；本机没有但收下了对端的 ⇒ **承接对端那条血统**（adopted=true、 **不 claim**、立刻落盘）；两条**独立血统** ⇒ 复用 lineageClientIds/lineagesRelated **同一对纯函数**拒绝合并并留痕（pendingSkipped）—— 不产生第二套血统语义。 判据：pageBinding.test.ts ⑱（承接：不 claim、落盘、hydrate 进编辑器）、⑲（合并两处都在不重复； 独立血统被拒且本机原样）；Rust crdt_wire 5 条 ・ page_crdt::pending 2 条 ・ absorb_incoming_crdt_state 与 record_page_upsert_attaches 各 1 条。 当轮 tip 读数（全绿）：tsc 0 ・ vitest 206 文件/**2146 条** ・ pnpm run build 0 ・ check-doc-content-access 562/562 ・ doc-links / doc-facts 绿 ・ check-web-commands （Rust **244** / web **245** / CommandMap **246**，+2 命令两侧都实现）・ test:sync-verify 84/0 ・ build:web ＋ check:web-build 9/0 ・ cargo check --lib 0。 ⚠️ 本片**没关**的（写在冲刺 §13.3，别读强）：① 投影列要等**下一次保存**才跟上（与 apply_remote_page 那条已知边界同一族，不是新引入的静默）；② pendingSkipped > 0 现在只到 console.warn，还没接 S8 那个"可见 + 可裁决"的出口；③ 真机双设备验收仍要人手。 ⚠️ 另记一条**与本片无关但反复出现的读数**：src/lib/graphLayout.test.ts 的计时判据 （250 节点收敛 ≤250ms）在**全量 vitest** 里红过两次（实测 260ms／310ms），而**单独跑 3/3 全绿** （该文件全部用例 140–232ms）。⇒ 那是"全量并行把 CPU 打满"的假红，不是回归；本轮以**再跑一次全量** 取到全绿 tip。这条判据在负载下的稳定性值得单独一拍（不在本片射程内）。 | 1 个月前 | |
chore(清理): 死代码稽查一轮 —— 编译告警 11 ＋ 7 → **0**，并把「收据」变成门禁 ## 这一轮做了什么 owner 让"清冗余代码"。先做最便宜、也最该先做的一件事：**把编译器的话当真** —— cargo check --lib 报了 11 条、cargo check --lib --tests 报了 7 条，逐条查完之后**两边都是 0**。 但查的过程里发现的不是"几个小毛病"，而是**一整类没人管的东西**：#[allow(dead_code)] **不产生任何输出** ⇒ 它什么时候过期了、它挡住了什么，都不会有人看见。四个真现场： | 现场 | 真身 | 处置 | |---|---|---| | sync.rs::IncomingChange.seq 挂着豁免 | 它**被生产代码读了 8 处**（apply_pulled_changes 那一整段）⇒ 豁免早就过期 | 删豁免（**不是**删字段：字段是活的） | | commands.rs::mupdf_compiled() | body 就是 cfg!(feature)；**唯一使用者**是一条 assert_eq!(cfg!(f), cfg!(f)) 的判据 —— 恒真、零覆盖 | 函数与那条空转断言一起删；"编没编"改由 ensure_mupdf_available() 的两半真验 | | security.rs 的夹具生成器 | 一次"文档与属性被留在上一个函数下面"事故 ⇒ 一个生成器**被 libtest 注册两遍**（跑两遍），另一个**彻底不可达** | 属性归位 ＋ 新判据 the_manual_fixture_generators_keep_their_attributes_next_to_them 钉住 | | build.rs::find_gm_marker_deprecated | 实现早搬进 gm_patch_probe.rs（好让判据驱动它），**副本还留着**，靠无名无期的豁免挂着 | 删副本（搬走了还留一份，正是两侧漂移的经典形状） | 结构性的一处：gm_patch_probe.rs 原先挂着 8 处逐项豁免，而它**在产品二进制里根本不需要存在** （本 crate 里只有判据用它；build.rs 走的是 include!，那是**另一次编译**，与本行无关） ⇒ lib.rs 改成 #[cfg(test)] mod，8 处豁免一次删清，只留 1 条**跨编译边界**的结构性收据。 hlc.rs 的模块级豁免同理撤掉（丙-③-b 落地后，按文件头那张清单逐条核过）：StampedRecord / winner / merge_record / projection / without_stamp / Hlc::counter / Hlc::device_id **只服务判据与仿真夹具** ⇒ 各自 #[cfg(test)]（"产品里根本不存在"比"编进来了但没人用"诚实）。 其余无名无期的豁免（net.rs、pairing.rs、crypto.rs ×5、pdfium_native.rs ×2、plugins.rs） 一律**补上日期 ＋ 删除条件**；sync.rs:530 那条则是直接删掉（它什么都没挡）。 ## ★ 稽查查出一处真缺口（不是清理顺手改的，要单独立片） **收侧没有 observe**：sync.rs::apply_pulled_changes 拿到远端戳之后只做了 verdict， **没把本机时钟推过它** ⇒ hlc.rs 文件头那条"因果一定在序里"在**对端时钟快**时不成立： 本机随后的一次编辑可能拿到**小于**刚收到那枚戳的新戳，于是"因果上更晚的改动"在 verdict 里 反而判给远端。Hlc::observe 因此今天**没有产品调用方** —— 它带着一条有日期的收据 （删除条件写在函数上方），**不是**把它 #[cfg(test)] 掉：那正好会把缺口藏起来。 修它要单独一片，且**先立判据**：造一个"时钟快一小时的对端"，要求它**压不住**后续本地编辑。 ## 防复发：新门禁 check-dead-code-receipts（contract 组） 纪律只写在文档里会漂，所以把"收据"变成断言：每处 #[allow(dead_code)] 必须**三选一** —— ① 删掉那段死代码；② 只有判据/夹具在用 ⇒ 门进 #[cfg(test)]；③ 确实要留 ⇒ 写一句 // ★ YYYY-MM-DD 收据：为什么留 ＋ 什么时候删。 - **它不判**理由好不好、也不判代码该不该留（那要人读）：只判"**有没有人会想起来它**"。 - 命中必须**在代码里**（复用 lib/rust-scan.mjs 的区域掩码）：仓里有**十几处注释在讲这件事** （"删掉 lib.rs 里那行 #[allow(dead_code)]"），grep 式扫描会把它们全算成违规 —— 自测里有这一格（"空输出与零命中是两件事"那一族）。 - 生成物（capabilities_gen.rs，豁免由生成器统一决定）显式列进 EXEMPT，门禁**每次都打印**它， 而不是假装没看见。 - 自测 scripts/check-dead-code-receipts.test.mjs **14 条**，含**三条变异实测**：抹掉真实文件 （hlc.rs）里的日期 ⇒ 那一条当场变红；"缩进过的文档注释"与"注释里的假命中"各有一条 —— 前者是我这次真踩到的假红（#[allow] 上面缩进 4 格的 /// 被判成代码）。 顺带：门禁条数 48 → **49**（docs/TESTING.md 的名字表与「机器事实」块、tests/baseline.json 的 gates.contract 与 note 同步更新）。 ## 读数 - **编译告警**：cargo check --lib **0** / cargo check --lib --tests **0**（此前 **11 / 7**）； - **Rust 全量**：**699 passed / 0 failed / 20 ignored**（scripts/win-cargo-test.ps1）； - **vitest**：**2367 passed / 12 skipped（0 failed）**（其中新门禁自带判据 **14** 条）； - **tsc --noEmit**：**0**；**pnpm verify 默认组**：**32 条门禁全绿**（含新门禁与 check-doc-facts）； - 判据计数**只增不减**：tests/baseline.json 的 gates.contract 加一条新门禁（它不按用例数计， 故**不动** counts 的 11 个下限）。 ## ⚠️ 仍然没做（与上一片相同，没有变化） 1. **真机两设备复验**（要人手）：两台机器各自填监听地址、开面板点一次「立刻交换一轮」。 本机判据只能到「内核 ＋ 编排 ＋ 门槛 ＋ 发现层口径」这一层（真环回已验，**跨机器**没验）。 2. 可选：把交换并进「同步」按钮或按周期自动跑（今天与甲档一样是手动，**不是缺陷**，是口径）。 ⚠️ 另一条**必须记住的口径**：网格只服务**当前空间那一条档案**（space_id 是它用来对暗号的东西） ⇒ 没有任何 sync_profiles 行的空间暂时用不上网格。 | 29 天前 | |
merge: 把 origin/dev 的 27 笔并进 fix/mesh-direct-sync（含 08-a/08-b 同步线与 mobile 线）—— 解 lan_state.rs 的公告入口冲突 为什么必须"先合并、再穿参"： short_id 那一套（lan.rs 的签名 ／ LanAnnounce.short_id ／ local_short_id）**是这次合并才带进来的** ⇒ 先在分支上穿参会落一个**编不过的半截状态**， 破掉"一次只落一个能编译的完整状态"。 冲突面：⭐ **只有 1 个文件、1 块** —— src-tauri/src/lan_state.rs （HEAD 侧的"**唯一入口** announces_for_this_round" vs dev 侧 08-b② 的 short_id）。 ⭐ 其余 40+ 个文件 git **自动合成功**（含 lan.rs ／ mesh.rs ／ sync.rs ／ lib.rs ／ App.css ／ App.tsx ✓）。 解法（semantics-spec 落 ＋ Lead 批）：⭐ **把"读 short_id"收进那个唯一入口里面**（lan_state.rs:393）✓， ⛔ **不当参数往下穿** ✗ —— 理由是他**量过才决定**的： · 当参数穿 ⇒ 必须改 mesh.rs 的 **3 个 4 参调用点**（:1984 ／ :2017 ／ :2045）； · 而那里有一条**源码级判据逐字盯着那行调用文本**（mesh.rs:2061）⇒ 会**多一个冲突面**； · 且"一轮读一次"会从**一处变两处** ⇒ 多一个真相源。 ⇒ ⭐ 收进唯一入口之后，"一轮一次"由**结构**保证，⛔ 不靠调用方自觉 ✓。 判据（他交的）：三条 ＋ ⭐ **两次定向变异红** ✓ —— 其中"**拿不到 short_id ⇒ 回落成 device_id**"是 ⭐ **危险方向**（身份错 ⇒ 认错人 ⇒ **合并到别人的东西**）⇒ ⭐ **只在断言里写不够，必须实测它红** ✓。 读数（本轮）： · cargo check --lib --tests ⇒ ⭐ **errors = 0** ✓（⭐ 带 --tests —— --lib **看不见**测试代码 ✓） · ⭐ **全量 lib：808 passed / 0 failed**（545s ｜ test exe exit code = 0 ✓） ⇒ ⭐ **804 ＋ 4 ＝ 808**：用例数**未变** ＋ 4 条转绿 ⇒ ⭐ 这是"**没有偷偷减测试**"的证据 ✓ · 顺带：两条**连带红**（PoisonError 余震）**自己变绿了** ✓ —— 他没有去改它们 ✓（对 ✓） · 另两个文件 crypto_sm.rs（＋15）／sync.rs（＋13）⭐ **只改断言 ＋ 注释** ✓（生产逻辑**一个字没动** ✓； git diff 逐行都落在**测试代码**内 ✓） 提交形态：⭐ 这是**整棵合并** ⇒ 一次给它一个**能编过的点** ✓（⛔ 不加 -- <路径> 限定 ✗ —— 那会把合并**切成半截** ✗）。提交前自检拆两步：先 git add 那三个 ⇒ **再**核 --diff-filter=U 为空 ＋ --cached 含那三个 ＋ 那 40+ 个仍在 ＋ ?? 为 0 ✓。 ⛔ 不在本笔：owner **待拍**的那条文案（"报错要不要说清两种可能"）⇒ **另开一笔**，⛔ 不夹进这一版。 | 14 天前 | |
feat(attr): 桌面(Rust) 属性/列顺序调节(reorder_attrs/reorder_db_columns + attr_defs.sort_order 迁移) | 1 个月前 | |
fix(space): Web 导出的空间包在桌面版「导入正常、打开时出错」—— 两侧 schema 的列名/列数漂移 ## 现象（owner 2026-10-22 报障，截图逐字） ✕ 切到「新建工作区」失败：内核拒绝了这次切换，请稍后再试。 Web 版导出空间包 ⇒ 桌面版**导入成功**（toast 说成功）⇒ **打开那个空间必失败**。 包就在 Downloads/space-新建工作区-2026-10-22-02-25-04.zip（1.6 MB，4 个条目）。 ## 真因（不是"拒绝"，是打开这个库的 SQL 报错） 前端把任何拒绝统一显示成上面那句，**真错只在 devtools 控制台** ⇒ 单看截图判不出来。 加了一条手动探针（workspaces::tests::probe_switch_active_space，拿真实 appdata 副本跑 switch_active_space）后，一句真错就出来了： ② 切到 1aa97287-… ⇒ 失败：no such column: seq **Web 与桌面是两套 schema，而 migrate() 用的是 CREATE TABLE IF NOT EXISTS** （表已存在就跳过 ⇒ **列名不会被纠正**）。两处漂移，逐个撞出来： | 表 | Web 版（sqliteStore.ts） | 桌面版（db.rs） | 后果 | |---|---|---|---| | changes | 主键列叫 **id** | 主键列叫 **seq**（语义完全相同：INTEGER PRIMARY KEY AUTOINCREMENT） | CREATE INDEX … ON changes(seq) 报 no such column: seq，**而它原先和建表写在同一个 execute_batch 里 ⇒ 整批中止** ⇒ 空间永远打不开 | | workspaces | 只有 id/name/theme/icon | 还有 **NOT NULL 的 created_at + updated_at** | migrate 末尾 UPDATE workspaces SET name=?, updated_at=? 报 no such column: updated_at | ## 改了什么 **桌面侧（兼容已经导出的旧包）**： · changes.id → seq 的**幂等改名**（先改名、**后**建索引 —— 反过来就是这次报错的原样）； · idx_changes_seq 从建表那个 batch 里**移出来**（它原先会让整批中止，连带后面所有建表都不执行）； · workspaces 缺 created_at/updated_at 就补（DEFAULT 0 ＝"时间未知"，比编一个假时间诚实）。 **Web 侧（不再产出第二种形状）**： · DDL 的 changes.id → seq（与桌面同名同义）； · web.ts 里 10 条语句改读 seq（读取处用 seq AS id 别名，**TS 侧的字段名与载荷映射一个没动**）； · 老浏览器库由 sqliteStore.ts::migrate() 里那条改名迁移补齐（**不用 try/catch 吞错** —— 改名失败不是"已经有了"，是真问题）。 ## 判据（都真跑过） ``text · 新增 db::tests::migrate_accepts_a_web_shaped_space_db（夹具按 Web 的 DDL 逐字造）： changes.seq 在 ✓ ｜ 游标值没被改名改掉（1 仍是 1）✓ ｜ idx_changes_seq 建出来了 ✓ workspaces 两个时间列补上 ✓ ｜ 第二次 migrate 幂等、数据不动 ✓ 变异：删掉改名那句 ⇒ ① 红；删掉补列那两段 ⇒ ② 红 · 端到端（**用 zip 里那个原始库**，不是修过的副本）： before：② 切到 1aa97287-… ⇒ 失败：no such column: seq after ：② 切到 1aa97287-… ⇒ 成功 · powershell -File scripts\win-cargo-test.ps1 -Filter "db::tests::migrate" ⇒ 3 passed / 0 failed · pnpm exec vitest run src/lib/platform ⇒ 21 文件 / 121 例全绿；tsc --noEmit ✅ · ⚠️ **没验的**：Web 浏览器里"老库改名 + 重新导出"这条（本机没有浏览器端活库）； rust 全量仍以 CI 为准（本机只跑 lib 目标） ` ## 顺带（同一处报障暴露的） · 前端那句「内核拒绝了这次切换」把**两种完全不同的失败**压成一句：口令拒绝 / SQL 打不开。 本次先把"打不开"这一类修掉；**要不要把真错也露一句给用户**是产品决定，没擅自改。 · scripts/win-cargo-test.ps1 -ExtraArgs '--ignored','--nocapture' 经 powershell -File 会传成**一个字面量**（日志逐字：probe … '--ignored','--nocapture'）⇒ 探针被当过滤器、1 ignored、 一条没跑。本笔先用 -PrintExePath` 绕开；脚本本身没改（改动面越小越好，留作单独一笔）。 —— windows 侧 agent（2026-10-22） | 3 天前 | |
feat(android): 深链到达留一行摘要日志，把"URL 到没到 Rust"变成可判定的事 接着 cbae0dd（深链接线不再桌面专属）。这次两件事： 1) handle_urls 留一行**摘要**日志： I/RustStdoutStderr: [deep-link] 收到 1 条 URL：shuyonote://test/new-page/… 真机排查最耗时间的正是这一步：界面上"没反应"有两种完全不同的原因——URL 没进来， 或者进来了但前端没接住——而当时两者只能靠截图猜。有了这行，adb logcat 直接分开。 ⚠️ 这条日志的**第一版自己就泄密**：log_summary 先按 / 分段、没先切掉查询串， 于是 shuyonote://save?url=https%3A%2F%2Fcommunity… 的整段 url= 参数被当成 "路径第二段"原样进了日志（参数里的 %2F 是转义斜杠，按 / 分根本分不开）。 单测 log_summary_keeps_the_action_and_drops_everything_user_supplied 当场钉住： left: "shuyonote://save/url=https%3A%2F%2Fcommunity…" right: "shuyonote://save/…"。 **"加日志"本身是在新增一个泄露面，所以它也需要判据。** 2) 文档按事实重写（CHANGELOG + docs/MOBILE.md §2.3）： - 更正我自己编的那句"移动端走 onOpenUrl"——**这个 API 不存在**，真实差异只有 "谁把 URL 送进来"（桌面 argv / Android intent），Rust 侧入口两平台相同； - 补两平台对照表、三层判据（日志=到了 Rust / 截图=界面变了 / 重启=持久化成立）、 "两条投递路径必须各验一次"（warm 的 onNewIntent 与 cold 的 get_current 是不同代码）； - 写清 -n <组件> 是显式 intent、**绕过 intent-filter**，只能证明插件拿到 URL， 不能证明浏览器点链接能唤起（后者用 aapt2 dump xmltree 静态查，无需真机）； - 记录附带发现：这条 workflow 之前**不会因 Rust 改动而构建**（paths 只两条）， 以及发现方式——"推完去看一眼 Actions"，空的。 | 1 个月前 | |
feat(storage): 新增「清理孤儿派生行」—— 清掉 att_id 已不在 attachments 里的 attachment_text/chunks（数据页危险区加按钮）; 来由：那两张表没有外键，历史数据里删附件会留孤儿派生文本（占空间且可能进搜索：用户搜到已删附件的内容）; 形状：SQL 只写在 derived_transport.rs（唯一运输通道，check-derived-writers 的意图）新增 clear_orphan_derived；命令 cleanup_orphan_derived 放 storage.rs 只调它; ⚠️ chunks 里页面块的 att_id 为 NULL ⇒ 条件写 att_id IS NOT NULL，一个页面块都不碰; Web 侧明说做不到（没验过，不假装）; 三处同步：CommandMap ＋ web.ts ＋ docs/TESTING.md 机器事实（Rust 265/web 254/CommandMap 267） | 22 天前 | |
feat(license): 设备身份与发卡站受控请求（个人版跨网订阅 2/3） device_identity.rs：本机 ed25519 私钥（<app_data>/device/identity.hex，先写 .tmp 再 rename，unix 0600）＋ dev = "dev-"+sha256(pubkey)[..8]。⚠️ 私钥文件损坏 ⇒ 明确报错并说清后果（换了旧卡就续不了），⛔ 绝不悄悄换新（判据钉住：损坏文件不被覆盖）。 license_http.rs：只许打**登记过的那台**发卡站（scheme+host+port 同源复核），没配地址 ⇒ 明确拒绝（不是"网络错误"）；用本机私钥签**调用方给的字节**（四条字节仍只在 src/lib/license/signedBytes.ts 拼，⛔ 这里不重写布局）。 命令面 5 条：license_device / license_sign / license_set_issuer / license_issuer_ready / license_http_request；CommandMap 与 web.ts 同步（web 侧如实拒绝：Web 没有本机密钥）。docs/TESTING.md 的 facts 块按 check-doc-facts 的读数更新（297/271/298）。 读数：cargo check exit 0；check-web-commands 覆盖完整；tsc 0 错；check-doc-facts ✓；src/lib/license 36 条全绿。 未完：界面挂载（3/3）。 | 6 天前 | |
feat(pairing): 1C 第 ① 片 —— 抄码载荷带上公钥（那串数字因此盖住了它） owner 2026-10-12 四条拍板入档在 docs/plans/2026-10-11-device-identity-keys.md §5（⭐ 一条都不再"待拍" ✓）： **1C 现在就拔掉**（口令不再是凭证 ✓）／**2B 与 1 一起做**（面板那格口令同一片退场 ✓）／ **配对暗号改说法** ✓／**4C 用「逐位对一遍」认钥匙** ✓。 ⚠️ 施工前实测的**前置**（本轮真踩到 ✓，也写进了提交与文档）：⭐ **不能只摘面板那格口令** ✗ —— 「抄码配对」那条路的载荷里**装的就是口令**（pairing.rs 空即拒 ✓；sync.rs 当共用密钥存 ✓） ⇒ ⭐ 必须先让那段码带上**公钥** ✓（本片），门那一半（authorized 只认签名 ✓）是下一片 ✓。 - 载荷：DevicePairPayload 加 pubkey（#[serde(default)] ✓）＋ stamp_pubkey（形状当场验 ✓， 空／半截 ⇒ 拒且**不留一半** ✓）；⭐ 解码**要求**它 ✗（空 ＝ 老码 ⇒ **如实拒** ＋ 说清"让那台升级"✓， ⛔ 不回落成"没钥匙也认" ✗）；⛔ 不再因为 token 空而拒 ✗（那一格**不再是凭证** ✓）。 - ⭐ 那串数字**自动覆盖公钥** ✗：check_code 哈希的是**整份载荷文本** ⇒ 谁改了公钥（或地址）， **两台对的那串数字当场不一样** ✓（＝ owner 选的 **4C** ✓）。 - 采纳：apply_device_pair_import 多收一格公钥 ⇒ db::pair_pubkey ＋ mesh::add_paired_pubkey （⭐ 门**当场**认它 ✓）；⭐ 旧那一档（哈希 ＋ 要出示那份）**照旧也写** ✓ —— 门那一半还没改， 删早了就是"配了也进不来" ✗（下一片一起退场 ✓）。 - is_public_key_hex 收成**一处实现**（门 ／ 抄码 ／ 读路径同一把尺 ✓）；mesh_trust 自己那份删掉 ✓。 - 文案：产出侧那两句「**它含窗口口令、拿到就能连上**」**当场改掉** ✓ —— 现在如实说 「**不含任何秘密**，被别人看到也进不来」✓（⛔ 留着旧话就是虚假陈述 ✗）。 判据（新两条 ＋ 改口径四条）： - ⭐ two_codes_differing_only_in_the_public_key_have_different_check_codes ✓（**命门** ✓； 真变异：把 check_code 改成只哈希 bind ⇒ 红 ✓）； - ⭐ adopting_a_pairing_makes_the_running_door_recognise_it_at_once **加了一格** ✓： 采纳之后那一台**凭签名**（⛔ 不带任何口令）就 200 ✓ —— 1C 之后取代口令的那条路 ✓； - 老码 ⇒ **解码就拒**（an_old_device_pair_code_without_the_new_field_still_parses 改口径 ✓， ⛔ 不再是"解析得动、采纳才拒" ✗）；device_key 那条"公开面只有这几件"**当场红过一次** ✓ （加第 6 件要逐条交代 ✓ —— 判据按设计咬人 ✓）。 读数：lib 全量 **1035 passed / 0 failed / 22 ignored** ｜ cargo check --lib ⇒ 0 ｜ cargo test --doc ⇒ 0 ｜ check-web-commands ／ check-doc-facts ／ check-doc-links ／ check-plan-status ／ check-dead-code-receipts ／ fence-balance ⇒ 全 0 ｜ tsc --noEmit ⇒ 0。 ⚠️ 顺带核过：decode_device_pair 是 deny_unknown_fields ⇒ ⭐ **老版本读到新码会报"字段对不上"** ✗ —— 那是**有意的坦白** ✓（1C 之下老版本本来就进不来 ✓，它不会签名 ✓）。 | 13 天前 | |
chore(sync): drop the three warnings the engine_pack move left behind -- a redundant import name in dictionary, an unnecessary mut on the cloned app handle, and the unused Read half of an import in engine_pack where Write stays because it is still used; the compiler output before the change is recorded verbatim with all three warnings and their file and line, the same command now exits zero with those three gone while the remaining warnings belong to unrelated files, and the diff is exactly three lines so no function body changed; no typescript was touched so the typescript and component checks were deliberately not run rather than claimed | 11 天前 | |
feat(sync): C1 预算刹车 + C2 网络闸门（Android 上架前必做的两件） 默认值由发布者 2026-09-15 拍板：磁盘余量下限 1 GB（硬性、不可关）、 单文件阈值 100 MB、本次下载总量上限 0 = 只报告不拦截；「仅 Wi-Fi 自动同步」默认开。 ## C1 预算刹车 - 新增 src-tauri/src/disk.rs：available_bytes() 查目标卷剩余空间。 Unix/Android 走 statvfs（用 f_bavail 而非 f_bfree——保留块我们用不到， 算多了刹车就踩晚），Windows 走 GetDiskFreeSpaceExW。libc 本就是直接依赖、 windows-sys 本就在 Cargo.lock 里（0.61.2）⇒ 零新增供应链，只是显式声明。 查不到时 **fail-open**（只记日志不拦）：这里没有安全的默认方向，fail-closed 会让任何查询失败都变成"同步坏了"，比少拦一次严重得多。 - 设备级设置存 meta.sync_state 的 KV（不新建表），命令 get_sync_budget / set_sync_budget；set 回显**夹取后**的值（磁盘余量下限传 0 会回 256）。 - sync_attachments 三道闸门：磁盘余量（硬性，停止）/ 单文件阈值（跳过该件、 继续）/ 本轮总量上限（停止）；停止原因进 attachments_paused_reason。 - **文件大小不需要改服务端**：GET /attachments 只回 {hash, mime}，且下载走 Body::from_stream ⇒ 没有 Content-Length、HEAD 也问不出来；但 attachments.size 本来就随 changes 同步到本地（正是"看得见但打不开"那条状态的来源）⇒ 本地就有， 拿它做下载前判断即可。拿不到那行时才退化成"不预判"。 - 把单件下载抽成 download_one_attachment()：两侧循环原先都是 ?，一件失败就 炸掉整轮，既谈不上"优雅停止"也白跑了已成功的部分；现在记一笔、跳过， 件数进 attachments_failed（否则是静默丢件）。这同时是 P6.3 要复用的那个函数。 - 报告新增：attachments_paused_reason / _skipped_too_large / _failed / _bytes_downloaded；面板按原因给出不同文案（"磁盘余量低于下限" vs "已达本次下载上限" vs "途中关闭了附件同步"）。 ## C2 网络闸门 - scripts/android-mobile-shell.mjs：Kotlin @Command fun networkType （ConnectivityManager/NetworkCapabilities 的 TRANSPORT_WIFI/CELLULAR/ETHERNET， 任何异常退化成 unknown）+ AndroidManifest 注入 ACCESS_NETWORK_STATE （普通权限，安装即授予、不弹窗）；--check 增加相应用例。 - src-tauri/src/net.rs：network_type 命令，Android 走真实查询，其它平台回 "n/a"。 - 契约（钉在前端注释里）："n/a" = 非 Android、闸门**不适用** ⇒ 不拦； "unknown" = Android 上真查不到 ⇒ **不自动拉取**（fail-safe，猜错代价不对等： 猜成 Wi-Fi 而其实是蜂窝 = 偷偷跑用户流量）。两者混同会把桌面的自动同步也关掉。 - useAutoSync：wifi_only 为真且类型不是 wifi/ethernet/n/a ⇒ 跳过这轮自动同步； **手动点「同步」不走这条检查**。 - 面板开关只在真能查到网络类型的平台上出现（判据是真实查询结果，不是 UA 近似）。 - Web 侧：预算用同名 sync_state 表同构实现；磁盘余量闸门在 Web 上**不做**—— 浏览器没有"卷剩余空间"API，navigator.storage.estimate() 给的是配额， 拿它当磁盘余量就是在编假数字。network_type 回 "n/a"。 ## 验证 tsc 0；pnpm test 70 文件 656 用例全过；check:web-commands（Rust 218 ↔ web 221）； cargo check --all-targets 0 错误 0 警告；android-mobile-shell --check 通过； check-capabilities / check-overlays / check-release-parity 全过。 ⚠️ 本机 cargo test 加载即死（0xc0000139，与本次改动无关）⇒ 新增 4 条 Rust 单测 只过了编译检查；真机验收（磁盘余量停止 / 仅 Wi-Fi 不自动拉 / 权限不弹窗）未做。 | 1 个月前 | |
| 2 天前 | ||
fix(email): ENVELOPE 解析失败的那一封**按 UID 救回** —— 原来只能跳过，那封信在列表里永久消失 ## 为什么 FETCH … (ENVELOPE …) 的响应是一条流：服务端把 Message-ID 里带**未转义 "** 的信 （实测：QQ 收件箱第 17 封，工信部通知，<…JavaMail."zwfw-info@miit.gov.cn"@…>） 原样发过来，那条字符串在 IMAP 语法里会提前结束 ⇒ async-imap 在这一条上报 Err。 2026-09-20 的修法是"断点续拉"（resume_at）：后面的信照拉，**但这一封被丢掉了**。 用户看到的现象是"少了一封信"，而服务端明明有 —— 与"静默失败"同族，只是损失面小。 ## 改了什么 recover_skipped()：**绕开 ENVELOPE 那套引号语法**，分两步取同一封信 —— ① FETCH <seq> (UID FLAGS)（响应里没有任何带引号的字符串，坏 Message-ID 影响不到它）； ② UID FETCH <uid> (BODY.PEEK[HEADER])（头部走 literal，同样不经引号语法） ⇒ 拿到原始头部后用 mailparse::parse_headers 自己解析（它对未转义引号是宽容的）。 meta_from_header_block() 与 meta_from_fetch() 同口径（Subject 走 decode_mime_words， From 规整成 名字 <地址>，\Seen/\Flagged 照搬）；三个字段全空则返回 None， **如实记"跳过这一条"**，不往列表里塞空白信。 顺带把那条日志收拾了：坏响应的错误文本会带上**整条 6 KB 的 * 17 FETCH (ENVELOPE …)** （还裹在 input: [42, 32, 49, …] 字节数组里），原来原样 eprintln! ⇒ 把真读数淹掉。 brief() 只留 during parsing of … 那一截、限 240 字。 ## 判据（都真跑过） ``text · 新增 2 条单测：meta_from_header_block_survives_unescaped_quote_in_message_id （夹具是**真实报障那封信的头部逐字**，含坏 Message-ID 与编码词） / meta_from_header_block_refuses_a_header_block_without_any_fields · win-cargo-test.ps1 -Filter email:: ⇒ 25 passed / 0 failed（含"流中途报错不许静默"哨兵） · 端到端（真账号探针 probe_fetch_account_emails，同一时刻前后两次）： before: 第 17 条解析失败（跳过） ⇒ OK：拉到 **205** 封（未读 151） after : 第 17 条 ENVELOPE 解析失败 —— **已按 UID 单独救回** ⇒ OK：拉到 **206** 封（未读 152） · 本机 node scripts/test-report.mjs --retry 1 ⇒ 65 条里 64 绿；唯一红是 session-grep 的 2 条 zstd 断言（本机 Node 24.22 单帧 API 行为已变，与本改动无关，另行处理） · rust 组本机跑不了全量 ⇒ 只跑了 lib 目标（能力问题，不是代码问题），整组以 CI 为准 `` —— windows 侧 agent（2026-10-22） | 3 天前 | |
chore(sync): drop the three warnings the engine_pack move left behind -- a redundant import name in dictionary, an unnecessary mut on the cloned app handle, and the unused Read half of an import in engine_pack where Write stays because it is still used; the compiler output before the change is recorded verbatim with all three warnings and their file and line, the same command now exits zero with those three gone while the remaining warnings belong to unrelated files, and the diff is exactly three lines so no function body changed; no typescript was touched so the typescript and component checks were deliberately not run rather than claimed | 11 天前 | |
fix(extract): 泛型 MIME 不许直传 Kreuzberg —— 实测它会把整份原文当纯文本吐出来（99,717 字符 vs 正确的 3,171），而症状是看起来成功、垃圾进知识库; attachments.rs 的 mime_from_path 表里没有 eml ⇒ .eml 入库拿到的正是 application/octet-stream ⇒ extract_bytes_sync 不做格式嗅探、退回纯文本; 修法：新增 mime_for()，泛型(octet-stream/binary/空)按文件名扩展名补成具体 MIME(eml/msg/rtf/odt/ods/odp/zip/7z/gz/tar/epub/tex/bib/ris)，补不出就如实拒收 ⇒ provider_error，绝不把纯文本兜底当成功; 并加单测把这条缺陷钉死（含认不出就拒收两条）; 真机读数：同一文件 message/rfc822 ⇒ 3171 字符、octet-stream/text-plain ⇒ 99717 字符/1288 行 = 原始字节数 | 22 天前 | |
chore(清理): 死代码稽查一轮 —— 编译告警 11 ＋ 7 → **0**，并把「收据」变成门禁 ## 这一轮做了什么 owner 让"清冗余代码"。先做最便宜、也最该先做的一件事：**把编译器的话当真** —— cargo check --lib 报了 11 条、cargo check --lib --tests 报了 7 条，逐条查完之后**两边都是 0**。 但查的过程里发现的不是"几个小毛病"，而是**一整类没人管的东西**：#[allow(dead_code)] **不产生任何输出** ⇒ 它什么时候过期了、它挡住了什么，都不会有人看见。四个真现场： | 现场 | 真身 | 处置 | |---|---|---| | sync.rs::IncomingChange.seq 挂着豁免 | 它**被生产代码读了 8 处**（apply_pulled_changes 那一整段）⇒ 豁免早就过期 | 删豁免（**不是**删字段：字段是活的） | | commands.rs::mupdf_compiled() | body 就是 cfg!(feature)；**唯一使用者**是一条 assert_eq!(cfg!(f), cfg!(f)) 的判据 —— 恒真、零覆盖 | 函数与那条空转断言一起删；"编没编"改由 ensure_mupdf_available() 的两半真验 | | security.rs 的夹具生成器 | 一次"文档与属性被留在上一个函数下面"事故 ⇒ 一个生成器**被 libtest 注册两遍**（跑两遍），另一个**彻底不可达** | 属性归位 ＋ 新判据 the_manual_fixture_generators_keep_their_attributes_next_to_them 钉住 | | build.rs::find_gm_marker_deprecated | 实现早搬进 gm_patch_probe.rs（好让判据驱动它），**副本还留着**，靠无名无期的豁免挂着 | 删副本（搬走了还留一份，正是两侧漂移的经典形状） | 结构性的一处：gm_patch_probe.rs 原先挂着 8 处逐项豁免，而它**在产品二进制里根本不需要存在** （本 crate 里只有判据用它；build.rs 走的是 include!，那是**另一次编译**，与本行无关） ⇒ lib.rs 改成 #[cfg(test)] mod，8 处豁免一次删清，只留 1 条**跨编译边界**的结构性收据。 hlc.rs 的模块级豁免同理撤掉（丙-③-b 落地后，按文件头那张清单逐条核过）：StampedRecord / winner / merge_record / projection / without_stamp / Hlc::counter / Hlc::device_id **只服务判据与仿真夹具** ⇒ 各自 #[cfg(test)]（"产品里根本不存在"比"编进来了但没人用"诚实）。 其余无名无期的豁免（net.rs、pairing.rs、crypto.rs ×5、pdfium_native.rs ×2、plugins.rs） 一律**补上日期 ＋ 删除条件**；sync.rs:530 那条则是直接删掉（它什么都没挡）。 ## ★ 稽查查出一处真缺口（不是清理顺手改的，要单独立片） **收侧没有 observe**：sync.rs::apply_pulled_changes 拿到远端戳之后只做了 verdict， **没把本机时钟推过它** ⇒ hlc.rs 文件头那条"因果一定在序里"在**对端时钟快**时不成立： 本机随后的一次编辑可能拿到**小于**刚收到那枚戳的新戳，于是"因果上更晚的改动"在 verdict 里 反而判给远端。Hlc::observe 因此今天**没有产品调用方** —— 它带着一条有日期的收据 （删除条件写在函数上方），**不是**把它 #[cfg(test)] 掉：那正好会把缺口藏起来。 修它要单独一片，且**先立判据**：造一个"时钟快一小时的对端"，要求它**压不住**后续本地编辑。 ## 防复发：新门禁 check-dead-code-receipts（contract 组） 纪律只写在文档里会漂，所以把"收据"变成断言：每处 #[allow(dead_code)] 必须**三选一** —— ① 删掉那段死代码；② 只有判据/夹具在用 ⇒ 门进 #[cfg(test)]；③ 确实要留 ⇒ 写一句 // ★ YYYY-MM-DD 收据：为什么留 ＋ 什么时候删。 - **它不判**理由好不好、也不判代码该不该留（那要人读）：只判"**有没有人会想起来它**"。 - 命中必须**在代码里**（复用 lib/rust-scan.mjs 的区域掩码）：仓里有**十几处注释在讲这件事** （"删掉 lib.rs 里那行 #[allow(dead_code)]"），grep 式扫描会把它们全算成违规 —— 自测里有这一格（"空输出与零命中是两件事"那一族）。 - 生成物（capabilities_gen.rs，豁免由生成器统一决定）显式列进 EXEMPT，门禁**每次都打印**它， 而不是假装没看见。 - 自测 scripts/check-dead-code-receipts.test.mjs **14 条**，含**三条变异实测**：抹掉真实文件 （hlc.rs）里的日期 ⇒ 那一条当场变红；"缩进过的文档注释"与"注释里的假命中"各有一条 —— 前者是我这次真踩到的假红（#[allow] 上面缩进 4 格的 /// 被判成代码）。 顺带：门禁条数 48 → **49**（docs/TESTING.md 的名字表与「机器事实」块、tests/baseline.json 的 gates.contract 与 note 同步更新）。 ## 读数 - **编译告警**：cargo check --lib **0** / cargo check --lib --tests **0**（此前 **11 / 7**）； - **Rust 全量**：**699 passed / 0 failed / 20 ignored**（scripts/win-cargo-test.ps1）； - **vitest**：**2367 passed / 12 skipped（0 failed）**（其中新门禁自带判据 **14** 条）； - **tsc --noEmit**：**0**；**pnpm verify 默认组**：**32 条门禁全绿**（含新门禁与 check-doc-facts）； - 判据计数**只增不减**：tests/baseline.json 的 gates.contract 加一条新门禁（它不按用例数计， 故**不动** counts 的 11 个下限）。 ## ⚠️ 仍然没做（与上一片相同，没有变化） 1. **真机两设备复验**（要人手）：两台机器各自填监听地址、开面板点一次「立刻交换一轮」。 本机判据只能到「内核 ＋ 编排 ＋ 门槛 ＋ 发现层口径」这一层（真环回已验，**跨机器**没验）。 2. 可选：把交换并进「同步」按钮或按周期自动跑（今天与甲档一样是手动，**不是缺陷**，是口径）。 ⚠️ 另一条**必须记住的口径**：网格只服务**当前空间那一条档案**（space_id 是它用来对暗号的东西） ⇒ 没有任何 sync_profiles 行的空间暂时用不上网格。 | 29 天前 | |
fix(gm): 判据『key 之前设的标签会被静默丢掉』按 v4 改法 —— 改用**非默认**目标标签（HMAC_SHA256）并只断言'回显不是我们设的那个'，不再把默认值写死（macOS 侧指出：v4 之后默认就是 SM3，旧写法分不出'丢了'还是'生效了'）；README 的版本对照格下一笔补 | 1 个月前 | |
fix(kb-map): 知识地图不显示目录名 ＋ 卡片里的长名字不折行（单行截断＋悬浮全名） owner 2026-10-08 两条（原话）：①「**知识地图里面不显示目录名称**」；②「**知识地图看板卡片名称不回绕**」。 ## ① 目录不进地图（⛔ 它本来连"这是目录"都分不出来） 只读量真库（7 个空间）：**11 个目录 ＋ 1 个数据库**混在页面里 —— 而 .kb-map-page 点下去是 openPage(目录id) ⇒ 落到一个**以目录名命名的空编辑器**（实测那些行正文 JSON 只有 2 字符 {}）✗。 根因是**结构性**的：get_graph 那条 SQL 只筛 deleted_at IS NULL、**不筛 kind**，而 GraphPage 里**根本没有 kind 字段** ⇒ 前端标不出、也滤不掉。四处一起补齐（Rust ＋ TS 类型 ＋ Web 实现 ＋ 数据层）： - src-tauri/src/graph.rs：GraphPage 加 pub kind: String，SQL 取 COALESCE(NULLIF(kind,''), 'page')（老库那格可能空 ⇒ **缺省当页面**）； - src/lib/platform/web.ts：Web 侧 get_graph 同形带上 kind（缺省 'page'）； - src/types.ts：GraphPage.kind?: string（**可选**：老载荷不带 ⇒ 消费方一律"认不出就当页面"）； - src/lib/kbMap.ts：buildKbMap 里 filter((p) => (p.kind ?? "page") !== "folder") —— ⚠️ **先滤、后截断**（目录不占 GRAPH_NODE_CAP 名额）；**只认 folder**（database 是内容页，照常进）； 边不用另滤（kept 只收画出来的端点 ⇒ 指向目录的边自然跟着走）。 ⛔ 没动「关系图」（get_graph 是共用的，要不要它也滤是**产品口径**，本轮只改地图这一层）。 ## ② 卡片长名不折行 卡片宽被 .kb-map-clusters 的 minmax(220px,1fr) 定死（实测 220px），长标题会折成两行 ⇒ 卡片被顶高、名字被断成两截。改成**单行 ＋ 省略号**，完整名字走 title 悬浮提示 （截断而不给全名 ＝ 把信息真的删掉 ✗）：App.css 的 .kb-map-page（＋ .kb-map-cluster-name） 加 display:block; white-space:nowrap; overflow:hidden; text-overflow:ellipsis， KnowledgeMap.tsx 给页面名与簇名补 title。 ## 判据先行（两条都先看它红） **(a) 数据层**（src/lib/kbMap.test.ts 加 4 条）—— 改前逐字： AssertionError: expected [ 'a', 'b', 'f' ] to deeply equal [ 'a', 'b' ] ← 目录进了页面列表 AssertionError: expected true to be false // Object.is equality ← 目录还占了 cap 名额 AssertionError: expected [ …(2) ] to deeply equal [] ← 只有目录的空间也画了 Tests 3 failed | 9 passed (12) 改后 Tests 12 passed (12) ✓（含"只认 folder：database 与缺省 kind 都当内容页"与"目录不占名额"两条）。 **(b) 布局几何**（scripts/check-panel-layout.mjs 加一个夹具 ＋ 5 条断言；真 Chromium ＋ 真 App.css） —— 改前逐字： （知识地图卡片实测：卡宽 220px ／ 名字 2 行 ／ white-space:normal text-overflow:clip ／ 裁掉 否） ✗ 知识地图卡片里的长页面名只占 1 行（实测 2 行；折行会把卡片顶高、名字被断成两截） ✗ 长名是**截断**而不是折行（white-space:normal ／ text-overflow:clip） ✗ 超长名确实被裁在卡片内（scrollWidth > clientWidth ⇒ 省略号那一档） ✗ 簇标题（标签名）也只占 1 行（实测 2 行） ✗ 超长簇标题同样被裁（裁掉 0px） [结果] 56 通过 / 5 失败 改后 [结果] 61 通过 / 0 失败，逐字：（卡宽 220px ／ 名字 1 行 ／ white-space:nowrap text-overflow:ellipsis ／ 裁掉 是） ✓ ## 连带 - tests/baseline.json：check-panel-layout **55 → 61**（只许上调 ✓，只动这一个键 ✓）； - docs/TESTING.md：那份「机器事实」的基线下限同步 55→61（check-mcp-bridge-stdout／check-doc-facts 会当场判红 —— 本轮**真被它拦了一次** ✓）＋ 那条门禁的说明改成 61 并写明新增量什么。 读数：npx tsc --noEmit ⇒ 0 ✓ ｜ cargo check（改了 graph.rs）⇒ exit 0 ✓ ｜ node scripts/test-report.mjs --retry 1 ⇒ **60 条全过、环境不具备 0** ✓（含 check-kb-s4-map ✓、 check-doc-content-access ✓ —— 它当场抓到我注释里写了 content_json 字样，已改措辞 ✓、smoke-web 的 get_graph has page nodes ✓） | 17 天前 | |
fix(hlc): 去戳比较改成**显式规范化键序** —— 别依赖 serde_json 的默认序（别人的依赖把 preserve_order 开了） 事故形状（2026-10-02 实测）：判据 the_stamp_is_excluded_from_content_comparison 红，逐字 left: {"id":"p1","title":"同","content_json":"{}"} right: {"content_json":"{}","title":"同","id":"p1"} 根因：Cargo.lock 里 serde_json 已依赖 indexmap 2.14.2 ⇒ preserve_order 被**别人的依赖**经特性统一 打开 ⇒ serde_json::Map 变 IndexMap ⇒ without_stamp 从「按排序」退化成「按输入序」⇒ 同一内容两种 键序算出两份字节 ⇒ 「内容没变」被判成「变了」（每次重发都算一次真改动，且没人有意这么设计）。 修法：键序由我们自己定（升序）＋ 注释写清为什么不能依赖 serde_json 的默认序。 读数：cargo test --lib 全量（另跑）；那条判据单跑转绿 ✓ | 22 天前 | |
fix(vault): 锁屏那句报错去套娃、去术语，原文只进日志 —— ＋ 锁屏挂载时清陈旧报错 owner 2026-10-10 截图：锁屏上那句报错是**三层套娃**拼出来的（最里面那句对 ✓，外面套了两层开场白 ✗， 两层说的几乎是同一句 ✓）＋ 把 SM4 / HMAC-SM3 / EtM / 密文完整性校验 直接给用户看 ✗。 Lead 已批准改那三个后端文件，四处改动逐字落地： - **① space_crypto.rs::verify_master_against_keyring**：用户面**只在这一处出人话** ✓，原文进日志 ✓ eprintln! 打出 {last}（排查以它为准 ✓）＋ Err("打不开：口令不对，或者这把锁被改过 —— 内容没有被解开（详细原因已写进日志，排查时以它为准）")。 ⚠️ 注释写明**两种可能都要说** ✗ 且 ⛔ **不许假装能判是哪一档** ✗ —— 因为 AEAD 解不开时 **程序自己也分不清**是"口令不对"还是"盒子被改过"（那是设计如此 ✓，见该函数上方原注释 ✓）；假装能判就是编造 ✓。 - **② keyring.rs**：这一层**不再拼前缀** ✓ ⇒ 盒子打不开（口令不对或盒子被改过）：{e} → 这个盒子解不开：{e}（中性措辞 ✓）。 - **③ crypto_sm.rs**：⭐ **只动一句字符串** ✓ —— SM4 密文完整性校验失败（HMAC-SM3 不匹配）—— 已按 EtM 拒绝… → 密文校验不通过（内容没有被解开）。判断逻辑／Result<_, String> 一个字没改 ✓ （git diff src-tauri/src/crypto_sm.rs ⇒ **只有那一行** ✓，连注释都没加 —— 严格照"只动字符串" ✓）。 ⚠️ 本文件**没有** eprintln! 先例 ⇒ 按 Lead 已拍的口径**不在这里新加日志** ✓（"原文进日志"那半由 ① 承担 ✓）。 - **④ LockScreen.tsx**：挂载时清陈旧报错 ✓ useEffect(() => { setErr(null); }, []) （⭐ **只挂"挂载"** ✓ —— ⛔ 不挂 pass / tries ✗，那会在输入过程中清成闪烁 ✓）。 **判据 a/b/c/d（一条夹具同时踩到 ①②③ 三层：拿一个错的主口令去解袋子 ✓）** space_crypto::tests::a_wrong_master_gives_one_human_sentence_without_jargon ``text 【先红】把 ① 与 ③ 的**旧字符串**临时放回 ⇒ thread '…' panicked at src\space_crypto.rs:703:9: 旧的三层套娃前缀还在：打不开（口令不对或盒子被改过）：这个盒子解不开：SM4 密文完整性校验失败（HMAC-SM3 不匹配）—— 已按 EtM 拒绝，未做任何解密 test result: FAILED. 0 passed; 1 failed; 0 ignored; 0 measured; 936 filtered out; finished in 22.99s ⭐ 这句 panic **就是 owner 截图里那句** ✓（套娃 ＋ 术语都在 ✓） 【后绿】$ … -Filter "space_crypto::tests::a_wrong_master" ⇒ ok. 1 passed; 0 failed 断的是：a) 旧前缀**一次都不出现**（"≤1 次"的更强形式 ✓）／b) 四个术语一个都不漏 ✓／ d) 「口令」＋「改过」都在 ✓ 且不假装能判是哪一档 ✓ ＋ 说清"原文进了日志" ✓ ＋ 反向：「对的主口令必须照样解得开」✓（⛔ 别把功能关了 ✗） **c)「原文仍进日志」—— 观测到了 ✓（⚠️ 但**还不是**自动判据）** text $ <v6 清单注入后的测试 exe> space_crypto::tests::a_wrong_master_gives_one_human_sentence_without_jargon --nocapture [space_crypto] 袋子里没有任何一个盒子能被这个主口令解开（原文，排查以它为准）：这个盒子解不开：密文校验不通过（内容没有被解开） test result: ok. 1 passed; 0 failed ` ⚠️ 如实说明：libtest 会**捕获** eprintln!，所以这条只能靠 --nocapture **观测** ✓； 要变成机器判据得另想办法（⛔ 本仓**没有**现成的"捕获 stderr"手法 ✗）⇒ 已报 Lead ✓。 **e)（④ 的那条）⚠️ 如实报告：没有牙 ✗** `text 写了 e) 失败一次 ⇒ 切走 ⇒ 切回来 ⇒ 屏上不许还挂着上次那句 ✓（渲染级 ✓） $ npx vitest run src/vaultGate.test.ts ⇒ **[exit 0]** ｜ Tests 21 passed (21)（含 e) ✓） 把 ④ 那两行**摘掉**再跑同一个文件 ⇒ **[exit 0]** ｜ Tests 21 passed (21) ⚠️ **照样全绿** ✗ ⇒ 真因：切走（到明文空间）时**锁屏整块卸载** ✓ ⇒ 切回来是**重新挂载** ⇒ React 的状态本来就归零 ✓ ⇒ ⭐ 所以 ④ 那条 useEffect([]) 在这个流程上**是空操作** ✗（"看起来有、其实没牙"的形状 ✓） ⚠️ 那条用例本身**不是**完全没牙：它先断言"切走时 .lock-screen 真的为 null" ✓ ⇒ 若哪天锁屏不再随闸门卸载 ⇒ 它会红 ✓；但它**分不出 ④ 起没起作用** ✗。 ⇒ 处置建议（**请 Lead 拍**，我没擅自删也没擅自改成别的形状 ✓）： (a) ④ 留着当**双保险** ✓（无害 ✓）＋ 那条用例改名说清它钉的是"锁屏随闸门挂／卸"✓；或 (b) 找到"锁屏**不卸载**而目标空间变了"的真流程（当前界面上：锁屏的出路只列**明文**空间 ⇒ 选了就走 ✗） ⇒ 那时 ④ 该改成"活动空间变了就清"（useEffect(…, [activeSpaceId])）—— ⚠️ 那是改你批过的形状，等你拍 ✓。 ⚠️ **顺带发现（⛔ 不在我写域，只报不改）**：security.rs:877 的**文档注释**里还逐字引用着旧前缀 「盒子打不开（口令不对或盒子被改过）」⇒ 本笔之后它成了**过期文档** ✗ ⇒ 请 security.rs 的主人顺手改 ✓。 读数：npx tsc --noEmit＝0 ✓ ｜ npx vitest run src/vaultGate.test.ts src/store/space.test.ts ＝ **27 passed** ✓ ｜ Rust a/b/d ＝ 1 passed ✓ ｜ cargo check --lib ＝ exit 0（4.74s）✓ ｜ residue=0 ✓ ⛔ 未做：c) 的**自动判据**（只观测 ✓）／ e) 的**有效判据**（发现原形状无牙 ✓）—— 两条都如实报 ✓。 ⛔ 边界内：⛔ 没碰 store/space.ts ／ SettingsDialog.tsx ／ sync.rs ／ mesh_merge_ledger.rs ／ dictionary.rs ／ security.rs ／ AbilitiesPane.tsx` ✓ | 14 天前 | |
merge: main -> dev（回灌 B1 步三）＋ feat(sync): 公告再加一格「类别」（G2 的前提，仍然只发不用） 这一笔本来只想做合并，但 kinds 那四个文件已经 staged ⇒ 被一起带进来了（如实记在消息里，⛔ 不假装它是纯合并）。 kinds 的来由与口径：G2 要求“两边都必须 personal”，公告原来只有 id 与名字 ⇒ 判不出对端类别 ⇒ 拦不住“把别人的团队空间当个人空间建到我这儿”。⇒ LanAnnounce 加 hub_space_kinds（#[serde(default)]，⛔ 不升 WIRE_VERSION）；announce_for_own_hub 多收 space_kind（空串 ⇒ 不带那一格）；lan_state 的 space_meta 由 (ws_id, 名字) 扩成 (ws_id, 名字, 类别)，查询多取 kind。 ⛔ 判定仍然一个字节没动（挑对端还是“名字优先、老对端回落 id”）。 判据：an_announce_carries_the_space_name_and_old_peers_still_decode 扩了一格（类别也带上）。 读数：cargo check --tests 0 错；该判据 ok；d1722ae0（B1 步三）CI 全绿（含 Rust 组）。 | 6 天前 | |
copy(nearby): 改词「局域网直连」→「**设备直连**」；状态描述里的「同网段/本网段」→「附近/同一网络」 owner 2026-09-29：① 虚拟局域网定为【进阶】② 清单来源【通用】③ 问「局域网直连和虚拟网段不一样吗？」 ⇒ 答：**一半一样、一半不一样**（同一条网格路；差别在"发现方式/报出去的地址/配置门槛"三处） ⇒ 因此旧词在虚拟网段下**不准确**（用户会想"我明明不在同一个 Wi-Fi"）⇒ owner 定：**改词**， 设置行那一行由「局域网直连」改为「**设备直连**」（说的是机制，不涉及在哪个网段）。 ## 改了什么（**只动用户可见文案**） text 设置行名字 局域网直连 → **设备直连** 节拍读数 这一轮走的是：局域网 · 本网段 N 台可用 → 这一轮走的是：设备直连 · N 台可用 这一轮走的是：局域网 · 正在找同网段的设备… → 这一轮走的是：设备直连 · 正在找附近的设备… 设备行第二列 同网段 · 服务 <空间> → 附近 · 服务 <空间> 同网段 · 没报服务哪个空间 → 附近 · 没报服务哪个空间 总闸提示 【注意】局域网直连也停着 → 【注意】设备直连也停着 空态提示 同网段的设备：… → 附近的设备：… 状态行（Rust） 同步地址：直连（局域网）… → 同步地址：直连（同一网络）… ｜ 本网段发现 N 台 → ｜ 附近发现 N 台 请求失败提示 本网段里没有能问的对端… → 附近没有能问的对端… 绑定被拒提示 局域网请用 192.168.x.x… → 同一网络请用 192.168.x.x… Web 说明 Web 版没有局域网发现层… → Web 版没有设备发现层… 悬停提示 同一网段里自动找到… → 附近自动找到… ## ⚠️ 改词连带**判据**一起改（否则红）—— 这是我第一轮漏掉的 ``text · lan.rs 状态行的三条判据都断言了旧词（contains("局域网") ／ !contains("局域网")） · mesh.rs 那条判据断言"本网段里没有能问的对端"（而原文字符串在 sync.rs） ⇒ 第一轮我漏了它们 ⇒ **cargo test 当场红了**（mesh:: 23/1）⇒ 这正说明判据是**真的在岗**。 ⇒ 第二轮精确定位（含"原文在哪个文件"）后全改。 ## 读数 text cargo test --lib：lan:: **19/0** ｜ mesh:: **24/0** ｜ nearby_invite:: **8/0** ｜ sync:: **59/0**（1 ignored） tsc --noEmit：**exit 0** ## ⚠️ 如实记两笔 text ① **内部注释里仍写旧名**（SyncPanel.tsx ／ syncMode.ts ／ App.css ／ 若干 *.test.ts 的注释与 it() 标题）⇒ 本笔**没动**（避免大面积噪声与无谓风险）。 ⚠️ 代价：以后读码时会看到"注释说局域网直连、界面说设备直连" ⇒ 建议**单列一笔**统一。 ② 规格 §9.1 里记着"名称：叫「局域网直连」（owner 明确"可以"）" ⇒ **该处需更新为"设备直连"**， 并注明这是 owner 2026-09-29 的改词（本条没做，避免与正在跑的文档笔撞车）。 `` | 26 天前 | |
merge: main -> dev（回灌 B1 步三）＋ feat(sync): 公告再加一格「类别」（G2 的前提，仍然只发不用） 这一笔本来只想做合并，但 kinds 那四个文件已经 staged ⇒ 被一起带进来了（如实记在消息里，⛔ 不假装它是纯合并）。 kinds 的来由与口径：G2 要求“两边都必须 personal”，公告原来只有 id 与名字 ⇒ 判不出对端类别 ⇒ 拦不住“把别人的团队空间当个人空间建到我这儿”。⇒ LanAnnounce 加 hub_space_kinds（#[serde(default)]，⛔ 不升 WIRE_VERSION）；announce_for_own_hub 多收 space_kind（空串 ⇒ 不带那一格）；lan_state 的 space_meta 由 (ws_id, 名字) 扩成 (ws_id, 名字, 类别)，查询多取 kind。 ⛔ 判定仍然一个字节没动（挑对端还是“名字优先、老对端回落 id”）。 判据：an_announce_carries_the_space_name_and_old_peers_still_decode 扩了一格（类别也带上）。 读数：cargo check --tests 0 错；该判据 ok；d1722ae0（B1 步三）CI 全绿（含 Rust 组）。 | 6 天前 | |
fix(office): 假 soffice 夹具的**移植性判据**（dash）＋ 临时目录名在 macOS 上会撞名（并行红的真因） 两件事都在 src-tauri/src/legacy_convert.rs，都是"只在某些平台上现形"的那一类。 ## ① 夹具脚本的移植性（Windows 那封 CI 红信的 Q1） Tashan 已把 printf 'PK\x03\x04…' 改成 POSIX 八进制 \003\004（e791cd31）——**改得对**， 本机 /bin/dash 上把两条写法都跑了一遍（Windows 说这只能在 Linux 验，其实 macOS 自带 dash）： 旧 \xHH ⇒ 20 字节，50 4b 5c 78 30 33 5c 78 30 34 …（字面 PK\x03\x04） 新 \ooo ⇒ 14 字节，50 4b 03 04 … ✓ 正是 zip 魔数 新判据 fake_soffice_script_stays_posix_and_builds_a_zip_under_dash 把这一类钉住，两半分开证明： ① **字面**：夹具脚本里不许出现 \x 转义（平台无关，任何机器都能拦住"又写回去"）； ② **行为**：用**真的是 dash** 的解释器（/bin/dash，缺了退 /bin/sh 并如实说明证明力较弱） 把脚本跑一遍，断言前 4 字节是 zip 魔数。 ## ② 顺带抓到：这个模块的判据在 macOS 上**本来就是 flaky 的** 现象：并行连跑 4 次里红 1 次，且**每次红的是不同的用例**、单线程 5/5 全绿； 失败原话都是"找不到 input.docx / NotFound"。 根因：临时目录名是 shuyonote-legacy-{pid}-{nanos} —— 而 macOS 的 clock_gettime(CLOCK_REALTIME) 分辨率只有 **~1000ns**（实测 20 万次采样只出 11937 个不同值， 同一个值最多连出 20 次）⇒ **并行首启的判据会在同一纳秒撞名**，先跑完那条的 TempDirGuard 把目录 remove_dir_all 掉，另一条随后就找不到自己的产物。 修法：加进程内单调序号（TMP_SEQ），名字改成 …-{nanos}-{seq}；测试助手 tmp() 同一个坑一并补。 判据 temp_dir_names_do_not_collide_when_the_clock_repeats 钉住"名字里有序号"这条性质。 （workspace_io.rs 的 uniq_tmp 早就为同一个坑加过 TMP_SEQ —— 这次是把它补到这边。） 读数：修前 4 次红 1；修后 6 次 0 红（单线程 5 次 0 红）。变异臂（去掉序号）6/6 稳定红在 新判据上 ⇒ 这条判据真的咬人。 顺带：联合验收登记表补上 CRDT 的两条外部条件（平面开关今天靠 VITE_CRDT_PLANE=1； 服务端 claim 端点未发版 ⇒ 客户端落「离线」那一支，j6 里不许记成「裁定通过」）。 | 1 个月前 | |
feat(crdt): 客户端「加密快照」上传切片 —— 快照源＝空间库密文，明文库当场拒，Web 明确拒绝 ## 为什么现在做（CRDT 阶段 2 最后那条路） 「新设备只用**快照 + 之后的增量**就能收敛」这条路，服务端那一半 2026-10-02 就落地了 （服务端仓 e7245bc / v17：PUT/GET /spaces/{id}/snapshot ＋ DELETE /spaces/{id}/deltas， 快照不透明、snapshotSeq 必填单调、**先落快照再退役**、没快照 ⇒ 409）。缺的一直是**客户端上传**。 ## 本片做了什么 text 新 src-tauri/src/space_snapshot_client.rs（命令 sync_upload_snapshot） · snapshot_url(base, space, seq) —— 形状带 snapshotSeq（服务端缺它 ⇒ 400，它没有默认值） · ensure_encrypted_source(path) —— 明文库**当场拒**，错误里写清后果 · read_db_bytes_encrypted(...) —— 走 backup_db_to（WAL 里未落盘的行也要在），目标库用**同一把钥匙** ⇒ 备份出来仍是密文（SQLCipher 的硬规则正好帮我们） · 上传体是**原始字节**（content-type: application/octet-stream），服务端原样落盘、不解析 · 409/401/403/413/400 各自给一句能看懂的话（不把状态码当解释） 平台层：commands.ts 登记 ＋ api.uploadSnapshot() ＋ **web.ts 明确拒绝**（它没有空间钥匙、 本地库是明文 SQLite ⇒ 传上去就是明文落云；⛔ 不是"反正服务端不解析"就能传）。 文档：施工单状态行改成"服务端已实施＋客户端上传已接、仍缺新设备冷启动"； 冲刺表 S5 显式结案（设计改道：服务端永远不开算）、S9 标已发版； docs/TESTING.md 的机器事实跟着命令数更新（Rust 299 / web 273 / CommandMap 300）。 ## 判据（都真跑了） text Rust space_snapshot_client::tests 3/3 ① snapshot_url 带 snapshotSeq 且不重复斜杠 ② 明文库（真文件头 "SQLite format 3"）被拒，错误里含「还没加密」 ③ 非 SQLite 头（密文形态）放行 TS src/lib/crdt/snapshotUpload.wiring.test.ts 4/4 ① 桌面侧必须先判密文再读字节 ② 必须带 snapshotSeq ③ Web 分支存在、理由点出"明文落云/不是密文"、且**分支里没有任何 fetch** ④ CommandMap 登记了这条命令 门禁 check-web-commands ✓（Rust 299 命令，web 全实现，CommandMap 300） tsc ✓ ｜ check-doc-facts ✓ ｜ check-plan-status ✓ ｜ check-doc-links ✓ ｜ check-fence-balance ✓ 全量 66 条：65 绿，唯一红是 vitest 的 session-grep zstd 断言（Node 24，与本笔无关） ## ⚠️ 本片**没做**（别当成已全通） 1. **新设备「先取快照、再取增量」的冷启动** —— 要动 pull 的冷启动路径，下一片。 2. **自动上传的阈值/时机** —— 取决于服务端**配额与限流语义**，那两项在施工单里仍是"未定"， 所以本片只给**显式命令**，时机由调用方定（不发明一个会改语义的默认值）。 3. **真机端到端**（真 PUT 到一台真服务器 / 真新设备拉回来）—— 本机没有可用的加密同步空间， 如实记：这一片只到"命令 + 判据"，端到端留给 CI/真机通道。 | 2 天前 | |
fix(license): 补回 license_http 测试模块的 use super::*（CI 8 处 E0425） 现场（02409ce2 的 Rust job）： error[E0425]: cannot find function origin_of in this scope ×8 ⇒ 整个 lib test 编不过。真因是我上一轮把 use super::*; 删了，而本机只用 cargo check（**不编 #[cfg(test)]**）⇒ 本机绿、CI 红。 已在本文件顶注里写上这条：本地验 Rust 改动一律 cargo check --tests（或 cargo test --lib）。 本机读数：cargo check --tests ⇒ exit 0。 | 6 天前 | |
merge: 两版需求文档 ＋ 门禁修复（feat/lan-5s-interval → dev） 冲突 **4 处**，逐条： · docs/README.md —— 两边都**加行**（方案索引表）⇒ **两边都留**：dev 的 2026-09-29-crdt-e2ee-snapshot-server-workorder 一行 ＋ feat 的 29 行（wps-scale … nightly-handoff）。 · docs/TESTING.md —— <!-- facts --> 那行两边都改 ⇒ **不选边，按 check-doc-facts 的"算出来是"取**： 门禁 62 条／contract 37／deploy 1（**dev 更全**）＋ 命令 **Rust 258 / web 250 / CommandMap 260**（**合并后的真实值**）。 · docs/specs/2026-09-29-crdt-mixed-version-degradation.md —— **两边都留**：dev 的富信息行 （⭐ 2026-09-29 已拍板…）＋ feat 的 **✅ 已做** 与那条 4dbd9ef2 订正注 ⇒ 保住「R71 ＝ 已做」。 · src-tauri/src/lineage_conflict.rs（代码）—— 取 **dev 的重构版**（三个字面量各建一行、各裁一次、各验一次； 这正是测试名的语义，且它已含"坏值表里不许有 remote"这条修正）**＋ 并入 feat 的两条订正注释** 与 feat 更严的断言（resolved_at == Some(11)，不是 is_some()）⇒ **两边的意思都留**。 ⚠️ **本笔不含** Lead 的 3 处**独立**改动（已退回工作树，由他另笔提交）： · docs/plans/2026-09-30-feasibility-of-requirement-metrics.md（**新文件**，untracked） · docs/plans/2026-09-29-requirements-judgment-matrix.md 的 **3 处计数订正**（39→36 ／ 26→23） （⚠️ 该文件**本身**随本笔进入：它是 feat 新增的，属本 merge） · docs/README.md 那行新文件索引登记 ⇒ 理由：check-doc-links 要求"索引行指向的文件必须存在"——若把该索引行并进本笔而文件不并， **本笔的树就是坏的**（指向不存在的文件）。所以两者必须同进同出。 | 25 天前 | |
fix(mobile): Android 选择器导入的附件不再丢名字与 MIME（问系统 + 尾段启发 + 内容嗅探） 真机上经系统文件选择器导入的附件显示成 📎41449ced-d44e-4d3c-8e14-7c6733ad042a 未整理 文件 1.8 KB： 名字是裸 UUID、mime 是 application/octet-stream ⇒ FileManagerView / PageTree 都按 file.mime 分支 （image/* 进内置文件预览、application/pdf 进内置阅读器、text/markdown 进预览），一个都不命中， 这类附件永远进不了内置预览，掉到 platform.opener.openPath() 也失败。不是难看，是功能坏了。 根因是一条只丢元数据、不报错的链： ① tauri-plugin-dialog 的 Android 实现只把 uri.toString() 交给 Rust（DialogPlugin.kt::createPickFilesResult 就是 uris.add(uri.toString())，display name / mime 根本没进这条管道；同包的 FilePickerUtils.getNameFromUri 在这条路上零调用点）； ② picked_file::materialize 于是把选中文件拷成裸 UUID、无扩展名的临时文件； ③ attachments.rs 拿 src.file_name() 当附件名、拿 mime_from_path()（只看扩展名）定 mime ⇒ UUID 名 + octet-stream。 修法三层，逐层变弱（桌面一层都不走 ⇒ 桌面行为逐字节不变）： 1. 问系统：新增本地 Tauri 插件（src-tauri/src/android_fs.rs + 脚本注入的 gen/…/ShuyoFsPlugin.kt 与 shuyo-fs.pro），经官方移动扩展点 api.register_android_plugin / PluginHandle::run_mobile_plugin 调 ContentResolver.query(OpenableColumns.DISPLAY_NAME) 与 getType(uri)。名字只有 Android 运行时知道： URI 尾段在 MediaStore/Downloads 上是 image:1234 / msf:1000000042 这种 id，不是名字。 不用 tls_android.rs 那种裸 JNI —— jni_handle().exec 是把闭包投递到主线程执行的（wry 的 MainPipe）， 拿不回返回值，取值这件事它做不到。 2. URI 尾段启发：picked_file::name_from_uri（纯函数 + 单测）。外置存储那条 （primary%3ADownload%2Fphoto.png）能把真名恢复出来；纯 id（1234）主动拒绝 —— 当文件名显示比裸 UUID 更容易让人误以为"这就是原名"。 3. 内容嗅探：新模块 src-tauri/src/magic.rs（PNG/JPEG/GIF/WebP/PDF/ZIP/GZ/7z/OggS/WAV/MP4/SVG/文本）。 这一层不依赖任何 Android 专属代码，所以"图片能预览、PDF 能进内置阅读器"即使桥挂了也成立， 也是唯一能在本机单测里钉住的一层。只认无歧义的签名：弱签名（BM/TIFF）与"裸帧同步字"都不认 —— 后者会把 UTF-16 BOM（FF FE）认成 MP3，这条是单测把我判红的（unknown_bytes_stay_unknown_instead_of_guessing）。 mime 的优先级是"扩展名表（认识的）> 系统说的 > 嗅探"，而不是让系统说的排第一：那张扩展名表是我们自己的 规范词汇，前端分支就是按它写的，而 ContentResolver.getType 会给出 text/x-markdown / image/x-png 这类 非规范写法 —— 让它抢在前面会把前端认得的类型换成认不得的（.md 的内置预览会消失），等于把 bug 换个方向。 顺带修掉同一条链上的两处哑火： - 临时文件名现在带正确扩展名（uuid 保证唯一、扩展名交给下游）⇒ plugins.rs 的「是不是 .zip 插件包」 不再拿 source_path（Android 上那是 content://…%3A1000000042）去 ends_with(".zip")（恒为假 ⇒ 手机上装 zip 插件包必然报"只支持 .zip 插件包"）。改判 picked.effective_name()，桌面等价。 - rename_attachment：当前 mime 仍是 application/octet-stream 而新名字带了认识的扩展名时补上（老数据 可以靠改名自救）。单向 —— 已知类型绝不因改名降级，否则 report.pdf 改成 report 就能把 PDF 阅读器弄丢。 验证（本机能验的都验了）： - Rust：cargo test --lib 275 通过 / 0 失败 / 4 ignored。新增 17 条：picked_mime_tests（无扩展名 + PNG 字节 ⇒ image/png 与 pdf 那条）、magic 的嗅探表、picked_file 的尾段/消毒/扩展名/mime 可用性。桌面不变那条也有 单独用例（无 Android 层时逐个类型回到扩展名表）。 - Kotlin：本机 gradle 真编过（task :app:compileUniversalDebugKotlin 与 :app:minifyUniversalReleaseWithR8 均 BUILD SUCCESSFUL），并用 R8 自己的产物复核：usage.txt 里没有 ShuyoFsPlugin/pickedFileInfo （没被删）、mapping.txt 里类名与方法名都是原样未混淆（FindClass 与反射找 @Command 都要的就是这个）。 R8 开着，漏了 keep 规则就是"CI 绿、release 真机 ClassNotFoundException"。 - 前端门禁：pnpm build、npx tsc --noEmit、vitest 631 通过、check:overlays / check-changelog / check-doc-links / check-versions / check-workflow-yaml / check:web-commands 全绿。 check:ps1-ascii 本机红，只因未跟踪的 tmp/**（CI 上不存在），未改。 - 只能真机验（必须 release 包，R8 才生效）：附件面板 → 选择文件 → 从「图片」挑一张 ⇒ 列表显示原文件名 （不是 UUID）、类型不是「文件」、点它能进内置预览；再挑一个 PDF ⇒ 点它进内置 PDF 阅读器； 再挑一个 .zip 插件包 ⇒ 能装（这条另修）。判据与步骤见 docs/MOBILE.md §2.2.2。 | 1 个月前 | |
feat(office): task-10 收口 —— 评估 §3 五条逐条落地（门槛判据双向 ／ --import 解析＋单实例交班 ／ 文档①②④） ⭐ ⑤ 指标可机器判（评估 §3-⑤） - src/lib/office/retention.ts 新增 RETENTION_THRESHOLDS（标题 0.98／图片 0.95 ＝ **方案 §7.3 原数** ✓； 段落 0.98、列表项/表格 0.95 按同族保守值，⚠️ 报告里**逐条打印门槛值** ⇒ "放宽了哪一类"一眼可见） ＋ RETENTION_MAX（**门槛是双向的**：保留率 >100% 也算不达标 —— "多了"＝内容被重复计数／归错类） - 新判据 src/lib/office/retentionThresholds.test.ts（4 条）—— 两条"会红"都实测过： · **真输入红**：imageWithoutBytesSample()（2 处引用、1 张有字节）⇒ 图片保留率 **50% < 95%** ⇒ 判红 · **真变异红**：短路解析层"列表"支路 ⇒ 同一次产出两端：段落 6→12 ＝ 200%（超过上界） ＋ 列表项 6→0 ＝ 0%（低于门槛） · 还原后：Select-String "false &&" ⇒ 空 ＋ npx vitest run src/lib/office ⇒ 3 files / 24 passed ⭐ ③ 命令行解析 ＋ 单实例交班（评估 §3-③） - 新增 src-tauri/src/office_import.rs（**纯 std** ⇒ 单测**不用 cargo**：rustc --edition 2021 --test ⇒ **7 passed**）： startup_from_args()（--import <路径>／--import=<路径>／引号剥离／取第一个／**无值或空值照旧正常启动**） ＋ set_pending_import()／deliver_pending()（一次性交班）／forward_import_args() - main.rs **只追加**（10 insertions / 0 deletions）冷启动解析 ⇒ --backup-once 仍然优先 ✓ - lib.rs **只追加 3 行**（逐行经 Lead 批准 ✓）：pub mod office_import; ＋ 单实例回调 _args→args 后转发 ＋ .setup() 里紧跟 deeplink::attach(...) 之后交付一次；lib.rs 的 numstat ＝ **14/1**（那 1 处删除就是批过的改名 ✓） ⛔ 没动既有 use tauri::{…} 行（用全限定 tauri::Emitter::emit ✓）｜⛔ 没起第二个单实例 guard（守卫本就在插件里 ✓） ⭐ ①②④ 文档口径（评估 §3-①②④） - 许可证那格改成**仓内三处依据**（Cargo.toml:76 逐字 ＋ Cargo.lock:3453-3456 的 4.10.4/checksum ＋ registry 副本 Cargo.toml:39 的 license = "MIT"）—— ⛔ 不发明许可结论 - 「引进 Kreuzberg」给出**可直接替换的正文**（含实测读数：ExtractionResult 只有 content ＋ tables ⇒ 给不了标题/列表/图片） - MarkItDown：附**零痕迹的复现命令**（markitdown|MarkItDown ⇒ 0）⇒ 砍掉，⛔ 不引依赖 - 新增 §7「落地进度与未接线」＋ 状态行带可核证据 判据：tsc --noEmit ＝ 0 ｜ node scripts/test-report.mjs --retry 1 ⇒ **61 条门禁 / 失败 0 条** ✓ ｜ rustc --test office_import.rs ⇒ 7 passed ｜ cargo check --lib ＝ 0 error（21 warning 全是既有的： backup_verify.rs/dictionary.rs/mesh.rs）｜ cargo check --bin shuyonote ＝ 0 error （⛔ 只 check 不 build ⇒ 跑前跑后 target/debug/shuyonote.exe 指纹逐字一致：108,571,648 B ／ sha256 3C42CCFD…1233） ⚠️ 未接线两处（如实，⛔ 别读成端到端可用）：OfficeImportPanel.tsx 没有挂载点；前端还没监听 office-import://request ⇒ 冷启动与第二个实例两条都只到"事件已交付"为止 | 15 天前 | |
feat(mcp): 跨空间只读 —— 「只读（全部空间）」档 ＋ pages_search/pages_list 的 spaceId（不动活动空间） owner 2026-10-18 选的 C 方案。起因是评估里那条"跨空间检索是硬伤"：外部 agent 想知道 "焦煤的材料在哪"，而实测要 6 次调用 ＋ 2 次 spaces_switch 才能找到一篇已知存在的文档； 更糟的是 spaces_switch 要 write:pages ⇒ **只读令牌根本跨不了空间**，而切换还会改用户界面。 ## 授权模型：新 scope read:all-spaces（不进注册表权限） · 为什么不进注册表：check-capabilities 要求"每条权限至少被一条能力用到"，而它是 **同一批能力上的附加条件**（两个能力的 spaceId 参数），放进去就是"死权限"✗； · 它是**令牌上的 scope**：只有面板「只读（全部空间）」那一档会给；插件 manifest **声明不了**（不在注册表里）⇒ 插件面照旧跨不了空间 ✓。 ## 档位：四档 → 五档 · McpLevel::ReadAll：读三项 ＋ read:all-spaces，allow_write=false、write:pages 一定不在； · 换档会**收回**这个 scope（⛔ 不靠"以前给过"留着 ✗）；换档照旧换令牌； · 面板加「只读（全部空间）」一档，文案说清"能读别的空间、仍然不能写、也不改你正在看的空间"。 ## 能力：spaceId（可选） · pages.search / pages.list 都加了这个参数；宿主走**独立只读连接**（open_space_conn）， 活动空间与 with_read_conn 那条路**一个字节不动**； · 目标空间**必须先真的存在**（先查 meta）：⛔ 不能先 open —— 那会给一个拼错的 id **新建空库** ✗； · 没有 read:all-spaces ⇒ permission_denied 并点名缺哪条（⛔ 不静默降级成当前空间 ✗）； · MCP 信封里的 scope 取**这次真正搜的那个空间**（不是活动空间）——否则"搜 A 说 B"比没信封更糟； · 空结果提示：没给 spaceId 时，hint 里加一句"已获授权可直接带 spaceId"。 ## 前端（AI/插件那一面） · pages.search 带 spaceId ⇒ 走全空间检索（候选给到上限 200）再按 workspace_id 筛 （命令面没有"只搜某个非活动空间"的入口）； · pages.list 带 spaceId ⇒ 走 api.listWorkspacePages；两边排序/字段与 Rust 一致。 ## 判据与读数 · Rust：cross_space_read_needs_the_scope_and_never_touches_the_active_space（无授权拒 ／ 有授权命中另一空间 ／ list ／ 不存在的空间 bad_arg ／ 信封读数是目标空间）； the_five_levels_map_to_exactly_three_fields（五档表 ＋ 换档收回 scope）。 全量 cargo test --lib：**1106 passed / 3 failed**（community_publish ×2 与 sync_stream， 均为既有问题）。 · TS：pagesSearch 的 spaceId（200 候选 ＋ 全空间 ＋ 筛）、pagesList 的 spaceId （走 listWorkspacePages）、面板五档文案 —— vitest 71 passed（本次三组）；tsc 0 错。 · 门禁：capabilities / generated / doc-links / doc-content-access / mcp 四条 / kb-s1 / ontology 全绿。 ## 没做 · 审计行里加"读了哪个空间"（审计形状是 check-audit-shape 钉住的，改它要单开一片）； 当前靠信封的 scope.spaceId 让调用方与日志能对上。 · 别名表、kind（容器页）、向量：仍按前一轮的结论等输入/读数。 | 7 天前 | |
feat(mcp): 跨空间只读 —— 「只读（全部空间）」档 ＋ pages_search/pages_list 的 spaceId（不动活动空间） owner 2026-10-18 选的 C 方案。起因是评估里那条"跨空间检索是硬伤"：外部 agent 想知道 "焦煤的材料在哪"，而实测要 6 次调用 ＋ 2 次 spaces_switch 才能找到一篇已知存在的文档； 更糟的是 spaces_switch 要 write:pages ⇒ **只读令牌根本跨不了空间**，而切换还会改用户界面。 ## 授权模型：新 scope read:all-spaces（不进注册表权限） · 为什么不进注册表：check-capabilities 要求"每条权限至少被一条能力用到"，而它是 **同一批能力上的附加条件**（两个能力的 spaceId 参数），放进去就是"死权限"✗； · 它是**令牌上的 scope**：只有面板「只读（全部空间）」那一档会给；插件 manifest **声明不了**（不在注册表里）⇒ 插件面照旧跨不了空间 ✓。 ## 档位：四档 → 五档 · McpLevel::ReadAll：读三项 ＋ read:all-spaces，allow_write=false、write:pages 一定不在； · 换档会**收回**这个 scope（⛔ 不靠"以前给过"留着 ✗）；换档照旧换令牌； · 面板加「只读（全部空间）」一档，文案说清"能读别的空间、仍然不能写、也不改你正在看的空间"。 ## 能力：spaceId（可选） · pages.search / pages.list 都加了这个参数；宿主走**独立只读连接**（open_space_conn）， 活动空间与 with_read_conn 那条路**一个字节不动**； · 目标空间**必须先真的存在**（先查 meta）：⛔ 不能先 open —— 那会给一个拼错的 id **新建空库** ✗； · 没有 read:all-spaces ⇒ permission_denied 并点名缺哪条（⛔ 不静默降级成当前空间 ✗）； · MCP 信封里的 scope 取**这次真正搜的那个空间**（不是活动空间）——否则"搜 A 说 B"比没信封更糟； · 空结果提示：没给 spaceId 时，hint 里加一句"已获授权可直接带 spaceId"。 ## 前端（AI/插件那一面） · pages.search 带 spaceId ⇒ 走全空间检索（候选给到上限 200）再按 workspace_id 筛 （命令面没有"只搜某个非活动空间"的入口）； · pages.list 带 spaceId ⇒ 走 api.listWorkspacePages；两边排序/字段与 Rust 一致。 ## 判据与读数 · Rust：cross_space_read_needs_the_scope_and_never_touches_the_active_space（无授权拒 ／ 有授权命中另一空间 ／ list ／ 不存在的空间 bad_arg ／ 信封读数是目标空间）； the_five_levels_map_to_exactly_three_fields（五档表 ＋ 换档收回 scope）。 全量 cargo test --lib：**1106 passed / 3 failed**（community_publish ×2 与 sync_stream， 均为既有问题）。 · TS：pagesSearch 的 spaceId（200 候选 ＋ 全空间 ＋ 筛）、pagesList 的 spaceId （走 listWorkspacePages）、面板五档文案 —— vitest 71 passed（本次三组）；tsc 0 错。 · 门禁：capabilities / generated / doc-links / doc-content-access / mcp 四条 / kb-s1 / ontology 全绿。 ## 没做 · 审计行里加"读了哪个空间"（审计形状是 check-audit-shape 钉住的，改它要单开一片）； 当前靠信封的 scope.spaceId 让调用方与日志能对上。 · 别名表、kind（容器页）、向量：仍按前一轮的结论等输入/读数。 | 7 天前 | |
fix(mesh): 归零自愈必须能**倒退写** —— set_peer_cursor 拒绝倒退，导致自愈静默失败（真机读数驱动） 现场（2026-10-20，真机把游标故意设成 99999）： [mesh …] 冷探针：since=99999（越界候选）⇒ 探到 6 条 [mesh …] ⚠️ 冷探针：… 那一栏最高只有 19 ⇒ 游标越界 ⇒ 归零并采用这一批（6 条） mesh_cursor:… = **99999** ← 日志说"归零"，库里没变 ✗ 真因：set_peer_cursor **拒绝倒退**（if seq < now { Err("水位不许倒退") }）—— 那条守卫本身是对的（倒退会把吸收过的记录再吸收一遍），但"越界自愈"要做的**恰恰是写小** ✗ ⇒ 用普通入口 ⇒ 返回 Err ⇒ 早先用 ? 把它冒出去、后来改成 healed || … 仍被这条守卫挡住。 改法： 1. 新开 reset_peer_cursor（**允许倒退**，注释写死"只给已判定越界那两处调用"）； 2. 两处归零 ＋ 写回那一支（healed）都改用它；正常路径仍旧走 set_peer_cursor ✓。 判据（真机，逐字）： 冷探针：since=99999（越界候选）⇒ 探到 6 条 ⚠️ 冷探针：… 游标越界 ⇒ 归零并采用这一批（6 条） 改前 mesh_cursor = 99999 → 改后 mesh_cursor = 0 ✓ 真的写进去了 cargo check --tests 0 错；mesh::tests::high_water_mark_and_old_peer_compat 仍绿。 ⚠️ 这条自愈路径**仍无单测**（要"库里塞一个越界游标 ＋ 一台旧对端"才能真跑）—— 如实记。 | 5 天前 | |
feat(sync): 接收侧接上按名融合闸＋融合账本 —— 同名个人空间并进本机，team/未分类一个字节不动 owner 2026-10-17 逐字：「个人版：空间名称完全一致才算同一空间，需要融合，space_id 可以不同。」 ＋ Lead 当日对齐口径：名字 trim 后逐字相等（不做相似度／全半角／大小写折叠）；只个人空间参与。 ## 本笔落了什么（＝那条"没有生产调用者"的收据真正兑现） 1. mesh_merge_ledger：same_space_name_by_trim（唯一的名字判等）＋ batch_merge_gate （先类别 → 再身份 → 后名字；"不参与"与"明确拒绝"是两个状态，不折成 bool）； 2. sync：local_space_kind（读 meta.workspaces.kind，读不出 ⇒ None ⇒ 不融）＋ MetaLedgerStore／merge_ledger_record／merge_ledger_view（账本落 meta.sync_state 的 LEDGER_KEY 一格）＋ 订正 local_space_name：改读 meta.workspaces.name （改名只写那里 ⇒ 旧实现挂的是建库时的旧名，会让"同名"判不出）； 3. mesh::absorb_peer_batch（设备直连那一批的落库口）接闸： · 同名个人空间 ＋ 本机信任过那台 ⇒ 先记账再落库，并进本机这一个空间（保留本机 id/名字）， 重复接入幂等（只记一笔）； · 不同名／判不出同一个人 ⇒ 这一批一条都不落库、水位不前进并留日志 （不悄悄并两个不同名空间）； · 团队／未分类／类别读不出／对面没带名字 ⇒ 不参与按名融合，沿用既有按暗号同步（不回归）； · 账本坏 ⇒ 不落库（没可撤的账就不做不可逆的事）＋ 如实报错； 4. 读数面：Absorbed.merge／PeerPullReport.merge（#[serde(skip)]，界面契约一字不变）＋ round_note 把"融合/没融合"说出来（网格这一档用户唯一能看到的窗口）； 5. 收据订正：lib.rs 的 allow(dead_code) 说明改成"第 1 档已接、撤销/永久那两格未接"（不删收据）； sync.rs 两条账号身份收据（第 2 档）如实标"仍未消费"；doc_content::anchor_workspace_id 的 "按名做不到"订正为"闸在上游"。 ## 判据（Windows：v6 清单注入后的 lib 单测，逐组跑） - mesh_merge_ledger:: ⇒ 14 passed / 0 failed（新增 m 同名=trim 逐字、n 批次闸顺序） - mesh::tests:: ⇒ 51 passed / 0 failed / 1 ignored（既有 T-10 长测）；新增 6 条： 同名融合 ✓／不同名不融且不落库 ✓／团队+未分类+类别读不出不动 ✓／重复接入幂等 ✓／ 未信任设备不融（且"判不出"≠"不同人"）✓／没带名字不参与但老路照旧 ✓ - sync:: ⇒ 116 passed / 0 failed（含 space_name_wire_tests 8 条：改名看得见、 类别读不出、账本一 KV＋坏账本如实报错）；doc_content:: ⇒ 55 passed / 0 failed - 未改前端（无 TS 改动）。 ## 行为变化（如实记，待 owner 验收） 既有用户若两端空间已分类为个人但名字不同，以前"按暗号匹配上就收"，现在不落库、水位不前进 （只留日志）。这是 owner「完全一致才算同一空间」的必然结果；一口回退＝把 BatchMerge::Refuse 改成 NotEligible（不融但照旧同步）。另：把对面空间路由到本机另一个同名空间本轮不做。 | 7 天前 | |
feat(sync): A1 -- add mesh_panel_scopes and mesh_panel_spaces (local half) so the panel can name the space a peer serves; offer stays empty pending slice B; no space_id reaches the UI | 12 天前 | |
feat(丙): HLC 判序 ＋ N 对端仿真夹具 —— 真网状的第一片（纯函数，**不接线**） ## 背景（这一片在整条链上的位置） 决策简报（2026-09-24 拍板， docs/plans/2026-09-24-lan-p2p-topology-decision.md）把甲/乙/丙 三档的 全部差别收成一句：**页级 LWW 的权威序（changes.seq）只能由一个地方发**（§0）—— 正文那半边 早就不要它了（Yjs 自己收敛，F4），剩下的非正文半边（整页 14 列 ＋ 删除墓碑 ＋ 附件元数据，F3） 才是卡点。丙 ＝ **把那个号牌删掉**（§4）：HLC 判序 ＋ per-peer 水位 ＋ 附件对端选择， 再加一件要诚实说的大头：**裁决 UI 是为 seq 写的，丙 要重做**。 丙 的承重判据（§6）是：「★ **没有任何设备发号牌也能收敛**：N 个对端乱序 ＋ 重复投递后， 两侧投影逐字节相同；且去掉中枢进程之后仍然收敛。」这条**在真机上验不了** —— 网络不会按你要的顺序送包，也没法要求它重发同一条。所以顺序只能反过来： **先把纯函数与可编排的仿真立起来，真机只验最后一公里**（发现、握手、传输）。 ## 改了什么 - **src-tauri/src/hlc.rs（新）**：混合逻辑时钟的纯函数（不看真实时间，now_ms 是传进来的 参数、不是这里读的表）—— · tick：本机事件；物理钟**停住或回拨**时由计数器兜底保持单调，绝不回退； · observe：收到远端戳之后回来的戳**严格大于**它 —— 这就是"因果一定在序里"的全部实现， 所以本机的表慢一小时也压不住已经收到的那一版； · 全序 (wall, counter, device_id)：device_id 那一格**不是装饰**，同一毫秒并发改写只在 它上面分开（少了它，平局就落回"谁先到"，而那正好让两台设备算出不同的投影）； · encode / decode：定长 019:010:device ⇒ **字典序 == HLC 序**（SQLite 里可直接 ORDER BY / 建索引，不用解析）；只认**规范形态**，短写当场 None，**不猜着补齐** （补齐会静默破坏排序承诺）；设备号里允许有冒号； · merge_record / projection：LWW 折叠 ＋ 规范投影。胜负有 (戳, 墓碑, 内容) 三格， 后两格是**防脏数据**的（同一枚戳但内容不同时，结果仍由数据本身决定，而不是"谁先塞进来"）。 · 计数器用满 ⇒ 宁可让 wall 多走一毫秒，也**不发重复的戳**。 - **src-tauri/src/mesh_sim.rs（新，#[cfg(test)]，不进产品二进制）**：仿真夹具 —— Device（时钟 ＋ 本地库 ＋ 发件箱；**身上没有任何"号码分配"的字段**）＋ Net （把发件箱收成消息串，再按给定下标顺序投递，可重复投；broadcast_via 走一个**纯中转者**） ＋ 确定性洗牌（splitmix64 ＋ Fisher–Yates，**不引 rand**：红了必须能复现）。 - **lib.rs**：登记两个模块。mod hlc; 上面那行 #[allow(dead_code)] 是**"还没接线"的收据** （本片它确实没有调用方），接线那一片顺手删掉 —— 与 lan.rs 当初同一条纪律。 - **决策简报**：新增 §11（丙 上线后的**使用场景**：中枢降级成"一直在的搬运工"、离线设备直接 互并、冲突与"谁更新"的边界）与 §12（第一片的落地记录与**明确没做**的清单）； §10 第 4 行、§8 与文件头"拍板之前"的口径都跟上实况（它们此前读起来像是还没拍板）。 ## 判据与读数 src-tauri/src/hlc.rs（12 条）＋ src-tauri/src/mesh_sim.rs（8 条）： - ★★ **主判据**（no_hub_no_serial_and_all_four_devices_still_converge）：四台设备、**没有中枢、 没有号牌**（断言每一条戳的作者就是它自己 —— 这就是"没有号牌"的可检验形态）⇒ 乱序 ＋ 重复 投递后**四台投影逐字节相同**，且投影里有真内容（不是"全都空"也算收敛）。 - ★ **去掉中枢仍然收敛**（a_relay_is_only_transport_so_removing_it_changes_nothing）： 同一批消息，「直连」与「经中转者」两趟 —— **连投递顺序都不同** —— 投影逐字节相同。 - **投递顺序／重复不改变结果**：10 个排列 × 每第 3 条重投，全部等于基准投影。 - **交替编辑**（interleaved_edits_and_deliveries_still_converge）：第 2 轮的编辑发生在 **收到之后**（于是 observe 真的参与进来），照样收敛，且再整批重投一字不变。 ⚠️ 上面那几条是"先编辑完再乱序投递"，投递顺序动不了任何一枚戳；这一条才让 observe 上场。 - **因果压过物理钟**：本机的表慢 3600 秒，收到之后再改 ⇒ 那版在两侧都赢。 - **表偏 ±1 小时照样收敛**（heavy_clock_skew_still_converges）：如实钉边界 —— 收敛 ≠ "赢家符合直觉"，表快的那台会赢；别把 HLC 当时间审计。 - ⚠️ **负对照**（a_comparator_without_the_device_id_would_have_diverged）：把全序换成 "只比 (毫秒, 计数器)、平局先到者赢" ⇒ **同一批消息换个顺序就分家**。这条是拿来证明 上面几条**真的咬人**的（少了 device_id 就是丙的红线症状）。 - hlc.rs 那一侧：单调（含回拨）· 因果 · 全序（反对称 ＋ 传递 ＋ 本层戳两两不同）· 编码往返与"字典序 == 序" · 只认规范形态 · 计数器用满不发重戳 · 并库幂等 ＋ 顺序无关 · 墓碑带戳/不进投影/迟到旧编辑不复活 · 投影规范字节（含**逐字面量**的 JSON 形状）。 读数（2026-09-25，Windows，powershell -ExecutionPolicy Bypass -File scripts\win-cargo-test.ps1 -Skip plugins::）： **543 passed / 0 failed / 19 ignored / 124 filtered out（= plugins::）**。 文档三闸 ✓（check-doc-links：144 个 .md / 885 条相对链接；check-doc-content-access： 67 文件 / 562 处，基线 562）。新增代码**没有引入新的编译 warning**：非测试构建仍是既存的 11 条， cargo check --lib --tests 的 7 条里**没有一条来自 hlc / mesh_sim**（本片第一版在 Device 上留的两条 dead_code 已清 —— 那是"设备不存自己的名字"那一步顺手带出来的）。 本片**一行 TS 都没动**，所以 tsc / vitest 不受影响（未重跑）。 ## 哪些没做（都留给接线那一片） - 没加 wire 字段、没动 sync.rs 任何一个分支、**没加 Tauri 命令**、**没动 schema**； - **没落 per-peer 水位**（"我见过 A 到某时某刻"）—— 夹具里它是隐形的（消息全投），真接线要显式建； - **没决定"删除 vs 并发编辑"的策略**：现在按**戳大的赢**，要不要 add-wins 是**策略**； hlc.rs 的「不决定的事」一节把这条写死了，免得后面把它当承诺； - **没有第二份实现**：本片只落 **Rust 一侧**。丙 要判序的是**非正文那半边**，它只在桌面（Rust） 上被应用；Web 不参与多设备同步 ⇒ 这时写一份 TS 镜像只会多出一份**没有调用方**的实现、 两边各自漂移。等真有消费方再镜像（与 block_rev / crdt_wire 那两对"两侧成对"的区别写在这里）； - 真机／真网络一行没验（本片本来就不是那一层）。 | 29 天前 | |
feat(sync): 一方配对成功 ⇒ 双向通（收到「想信任」这一侧也登记对面） owner 2026-10-17 逐字：「**一方配对成功，就双向通**。」（取代 2026-10-12 的「单方信任 ⇒ 单向」） 真机来由：AMD 侧配对后拉本机**每一轮 401**（「这张卡不在这台的名册里」）—— 单方配对只开了一个方向，对面永远拉不到本机。 ## 改了什么 - sync::note_pending_trust_asks：收到对面那一轮 trust_ask（且是**这条空间**的对端、公告里带合法公钥） ⇒ ⭐ 本机**也把对面登记上**：db::pair_pubkey ＋ mesh::add_paired_pubkey（跑着的门当场认它 ✓） ＋ note_remote_confirm（消费掉那条 ask，公告 30 秒一轮不会重复登记 ✓）。 - 登记面**故意很窄**：⛔ 不写旧那三档（卡哈希 pair_device ／ 出示那份 set_pair_secret ／ 门里的共享哈希 add_paired）✗ —— 第 3 步之后信任凭证**只有公钥** ✓（判据按源码文本钉这条 ✓）。 - 对面**没报公钥**（老版本／没开发现层）⇒ ⭐ 如实不登记 ＋ 一行日志 ✓（⛔ 不硬凑一个身份 ✗）。 - 用户文案（三处，只改字不改逻辑）： - 配对成功的 toast：已允许这台设备来拿你的内容（要双向，得它那边也点一次） → **配对成功：两边都通了 ✓** - trust_state_view 的 idle／trusted 两句：去掉"一方只开一个方向／两台各点一次" - commands.ts 的 mesh_trust_begin 文档：注明 2026-10-17 新口径 ＋ 401 真机来由 - ⚠️ **安全相关的复制文案如实化**（AMD 侧真机抓到的 device_pair_export bug ✗）： 那句「它**不含任何秘密**（只有地址和公钥）⇒ 就算被别人看到也进不来」**是假的** ✗ —— 载荷里**含明文 token（窗口口令）** ⇒ 改成「⚠️ 含窗口口令 ⇒ ⛔ 不是可以随便转发的公开材料， 只交给你自己那台 ✓」（⛔ 不改载荷形状、⛔ 不假装去掉 token ✓）。 ## 判据（⛔ 换口径不删断言：三条旧断言按 owner 新口径**反向**并写明来由 ✓） - Rust（Windows 本机，cargo test --lib 注入 v6 清单后跑）： · sync:: **113/113**（含改口径的两条：收到 ask ⇒ 登记对面／登记面只许公钥那两格） · pairing_trust:: **31/31** ＋ mesh:: **49/49**（含 one_pairing_round_opens_both_directions： A 点一次 ⇒ B 的门不用重启也认 A ⇒ A 拉 B 成功 ✓；没被允许过的第三台仍 401 ✓） - TS：tsc --noEmit 0；SyncPanel.trustDevicePanel.wiring ＋ syncPanelDevicePair.wiring **46/46** - ⚠️ 顺手修一条 **dev 上既有的红**（不是本笔引入）：record_page_upsert_attaches_crdt_state_only_when_present 在 6aacadd3（载荷挂 _space_name）之后没跟上 ⇒ 比较前把那一格与戳一起摘掉 ✓（判据意图不变 ✓）。 | 7 天前 | |
feat(mesh): 设备身份第 2 步 —— 门改成验签（两档并存 ＝ §5① 的 ⓐ 过渡） 方案 docs/plans/2026-10-11-device-identity-keys.md §8.2；owner 待拍项在它 §5① （⭐ 旧那一档什么时候**停认** ✗ —— 本轮按 ⓐ 纯加法做，⛔ 不替 owner 拍 ✗）。 - 表：mesh_paired_devices 加 pubkey 列（⭐ 加法：旧行不删 ✓、ALTER 幂等 ✓）； db::pair_pubkey ／ db::paired_pubkeys；另加一条判据钉「老库补列 ✓ ＋ ⭐ 存量行公钥为空 ✓ ＋ ⭐ 旧那一档那一列一个字节不动 ✗」（少了那次 ALTER ⇒ 门谁都进不来，是一条安静的升级事故 ✓）。 - 门：authorized **先试签名** ✗（三格头 x-shuyo-dev ／ -ts ／ -sig ✓）； 签的那串由 auth_message **一处实现** ✓（覆盖 device_id ／ space ／ ts ／ method ／ **target** ✓）； ⏱ 时间窗 120s ✓（⭐ 只挡"旧包重放" ✓，⚠️ 窗口内的重放**如实说不挡** ✓）。 ⚠️ 签名没过**落回**旧那一档 ✓（⭐ 过渡期：老配对的行里还没有公钥 ✓；ⓐ 之下旧那一档本来就还开着 ⇒ 回退不额外给任何东西 ✓）＋ ⭐ 代码里留下「等 owner 选 ⓒ 时这一段必须改成直接 401」✗。 - 出站：sign_request ＋ target **一处拼**（pull_target ／ attachment_target ✓）—— ⛔ 两处各拼一份 URL ⇒ 一漂就 401，而"只测纯函数"照不出来 ✓ ⇒ 端到端那条判据钉它 ✓。 - 撤回：forget_paired_device（⭐ 跑着的门里那份公钥也要摘 ✓，与 forget_paired 对称 ✓）。 判据（一条走全七档）：签名放行 ✓／改一个字节 401 ✓／换 target 401 ✓／过期 401 ✓／ 没登记过的那台 401 ✓／**出站 target 与门重建的逐字相同** ✓／**撤回后同一个签名立刻 401** ✓。 读数：lib 全量 **1032 passed; 0 failed; 22 ignored** ｜ cargo check --lib ⇒ 0 ｜ cargo test --doc ⇒ 0 ｜ check-doc-facts ⇒ 0 ｜ check-doc-links ⇒ 0 ｜ check-plan-status ⇒ 0。 ⚠️ 过程如实记两条（都是本轮真踩到的）： ① 全量跑抓到一次**跨判据串门**：新判据的绑定键与 R109 那条**撞了** 0.0.0.0:0 ⇒ 两条判据共用一扇门（⭐ 注册表的键就是绑定字符串 ✓）⇒ 症状是"200 但**一条记录都没有**"✓； 本仓为这条**专门写过注释**（R110 那条判据里）⇒ 已改成本条独有的绑定键 ✓。 ② 夹具用 INSERT OR IGNORE 把 workspaces 的 NOT NULL 违约（created_at/updated_at）**静默吞掉** ⇒ 报出来的是"没有同步档案"这种**误导**的话 ✓ ⇒ 改成**大声失败** ✓。 | 13 天前 | |
feat(spaces): 加密空间有文字标识（读数三态）＋ ⭐ 修掉「新建空间」那条 7 列 SELECT 的运行期错误 owner 2026-10-10 发空间切换器截图 ＋ 逐字要求：「**加密空间要做个特殊标识**」—— 截图里 6 个空间全写着「仅本机」（那是**同步状态**那一格，与"加不加密"是两件事 ✗）⇒ 看不出哪个加密 ✓。 ## ⭐ 一、选路：**B**（把 encrypted_on_disk 并进空间元数据），先量后选 两条路的**真成分**都量了（Node 探针照 security.rs:242-251 的同一组 syscall：open ＋ read 16 ＋ close； 读数＝**进程内稳态**，⛔ 真"冷"（OS 页缓存逐出）本机做不到 ⇒ 如实标注）： | 量什么（N＝真空间数） | 首跑 | 稳态均值 | 最大 | |---|---|---|---| | list_workspaces 那条 SQL（真表真列清单） | 0.096 ms | **0.040 ms** | 0.096 ms | | sniff ×12（**真空间库文件**） | 0.730 ms | **0.219 ms** | 0.730 ms | | sniff ×25（同尺寸合成文件，＝"20+ 空间"那一格） | 0.626 ms | **0.457 ms** | 0.877 ms | | A 路每个空间那两句小 SQL ×6 | — | （探针在 node:sqlite 上 ?1 取名失败，见"没做到"） | — | ⇒ **B 的增量 = 0.22 ms（12 个）／ 0.46 ms（25 个）** ⇒ 亚毫秒，**可忽略** ✓ ⇒ **A 的增量 = 一次 IPC ＋ 同样的 N 次嗅 ＋ 2N 句小 SQL**（IPC 本机**量不到**：没有 app 驱动 ✗）—— 而且 A 让那一格变成**异步**（标识会闪进来），还要为"两处一致"各调一次 ✗ ⇒ 选 **B**：读数**同步可得**、**每个** spaces 消费者都拿到同一份（"两处一致"变成**结构性**的 ✓）、 代价已量且亚毫秒 ✓。判定规则仍**只有一处**（security::space_db_is_encrypted， 与 space_security_overview **同源**，只是第二个**调用点** ✓）。 ## ⭐ 二、顺手抓出并修掉一笔**我今天自己造的**运行期错误（重要） create_workspace 里那条 SELECT（workspaces.rs）**只有 7 列**（漏 kind），而它走 row_to_meta、 row_to_meta 读的是**第 8 列** ⇒ **运行期 Invalid column index** ⇒ **「新建空间」直接报错** ✗。 根因是 task-22 那一笔（加 kind）漏了这一处列清单 —— ⚠️ 而 cargo check **看不见列清单** （它只看得见"构造点缺字段"）⇒ 编译器与**全部测试**都不红 ✓，只有真去建空间才会撞上 ✓。 本笔已补 ,kind（并加一条**文本级判据**：凡走 row_to_meta 的逐字 SELECT 都必须带 kind ✓， 钉住这一格）。⚠️ task-22（5e2e50f5…9d36e66c）**尚未 push** ⇒ 这个坏状态没出过本机 ✓。 ## 三、标识本身 ① 新 src/lib/spaceSecurity.ts —— 那一格的**唯一**映射 spaceCryptoBadge(encryptedOnDisk)： · true ⇒ 显示「**已加密**」（**文字** ✓，⛔ 不只靠颜色 ✗）+ 悬停/读屏那句「这个空间的数据库在磁盘上以密文存储」 · false ⇒ 不显示（确认是明文 ✓） · undefined／null／形状坏了 ⇒ 不显示，且 state 是 **"unknown"** ✓（⛔ **不许当成明文** ✗） · ⛔ 语义只说"磁盘上是密文"：**不提**"安全／别人看不到"，**不揉** in_keyring／key_available ✓ ② PageTree.tsx 空间切换器那一行渲染它（{crypto.show && <span className="space-item-crypto" …>}）✓ ③ Rust（task-27 那格数据的形状）： · models.rs::WorkspaceMeta 加 #[serde(default)] pub encrypted_on_disk: Option<bool> —— ⭐ **三态**： Some(true) 密文 ／ Some(false) 明文 ／ None **读不到**（连数据目录都拿不到）✓ · workspaces.rs::row_to_meta **在里面算**（⛔ 不放调用点 ✗：它有两个调用方，漏一个那处就悄悄是 None ✗） —— 用**唯一**那条判定 security::space_db_is_encrypted（只读头 16 字节 ✓） · workspace_io.rs（导入空间那条路）也真的嗅一次（那边**可能刚把库标成加密** ⇒ ⛔ 不许写死 false ✗） ⚠️ 它**不是** meta.workspaces 的列（是**文件系统**上的事实）⇒ ⛔ **没进** WS_COLS ✗（判据钉着 ✓） ## 四、判据（先红后绿） 红（逐字）： `` ❌ 接线维度：d) 切换器那一行真的渲染它 ⇒ AssertionError: 没 import 那处映射: expected 'import { Fragment, useEffect, useMemo…' to contain 'from "../lib/spaceSecurity"' ❌ 我自己的正则写窄了：⭐ 回归：走 row_to_meta 的每一条 SELECT 都必须带 kind ⇒ expected 1 to be greater than or equal to 2 （真因：list_workspaces 那条写的是 {WS_COLS} ⇒ 不含逐字列名 ⇒ 已拆成两条断言 ✓） ❌ 两次 PARSE_ERROR：测试标题里我又用了 ASCII 双引号（中文串里嵌 "…"）⇒ 已全改「」✓（今天第二次踩 ✓） ❌ tsc：src/lib/spaceSecurity.test.ts(131,12): error TS2304: Cannot find name 'cols'（跨 it 用了局部变量）⇒ 已修 ✓ ⭐ 变异自证（唯一那次**规则**级红）：把 unknown 那一支改成 "plaintext" ⇒ c) … AssertionError: 读不到被当成了「确认是明文」: expected 'plaintext' to be 'unknown' ＋ 形状坏那条 ⇒ **2 failed** ⇒ 已还原 ✓ ` 绿：npx vitest run src/lib/spaceSecurity.test.ts ⇒ **10 passed**；连带 6 个测试文件 **65 passed** （含读 PageTree.tsx 的两条 wiring 判据 ⇒ 我没弄坏它们 ✓）｜npx tsc --noEmit ⇒ **0** ｜cargo check --lib ⇒ **exit 0**（⛔ 只 check，没 build ✓；⛔ 没跑 cargo test／win-cargo-test.ps1 ✓） ｜node scripts/test-report.mjs --retry 1 ⇒ **61 条门禁全绿**（99.0s） ⛔ 没做到（如实）： · **设置-空间那一列没接**（SettingsDialog.tsx 不在本笔写域）⇒ 那个标识目前只在**侧栏切换器**有 ✓ （它读的是同一格 WorkspaceMeta.encrypted_on_disk ⇒ 接上去是同一行 spaceCryptoBadge(...) ✓） · A 路那两句小 SQL 的读数**没拿到**（探针在 node:sqlite 上 ?1` 具名参数取名失败）⇒ 不影响选路 （A 的增量本来就被 IPC 主导，而 IPC 本机量不到 ✓） · 真"冷"读数拿不到（要管理员工具逐出页缓存）⇒ 给的是**稳态** ✓ · 运行时目视验收**没做**（本机 app 归 Lead ✓） | 15 天前 | |
chore(清理): 死代码稽查一轮 —— 编译告警 11 ＋ 7 → **0**，并把「收据」变成门禁 ## 这一轮做了什么 owner 让"清冗余代码"。先做最便宜、也最该先做的一件事：**把编译器的话当真** —— cargo check --lib 报了 11 条、cargo check --lib --tests 报了 7 条，逐条查完之后**两边都是 0**。 但查的过程里发现的不是"几个小毛病"，而是**一整类没人管的东西**：#[allow(dead_code)] **不产生任何输出** ⇒ 它什么时候过期了、它挡住了什么，都不会有人看见。四个真现场： | 现场 | 真身 | 处置 | |---|---|---| | sync.rs::IncomingChange.seq 挂着豁免 | 它**被生产代码读了 8 处**（apply_pulled_changes 那一整段）⇒ 豁免早就过期 | 删豁免（**不是**删字段：字段是活的） | | commands.rs::mupdf_compiled() | body 就是 cfg!(feature)；**唯一使用者**是一条 assert_eq!(cfg!(f), cfg!(f)) 的判据 —— 恒真、零覆盖 | 函数与那条空转断言一起删；"编没编"改由 ensure_mupdf_available() 的两半真验 | | security.rs 的夹具生成器 | 一次"文档与属性被留在上一个函数下面"事故 ⇒ 一个生成器**被 libtest 注册两遍**（跑两遍），另一个**彻底不可达** | 属性归位 ＋ 新判据 the_manual_fixture_generators_keep_their_attributes_next_to_them 钉住 | | build.rs::find_gm_marker_deprecated | 实现早搬进 gm_patch_probe.rs（好让判据驱动它），**副本还留着**，靠无名无期的豁免挂着 | 删副本（搬走了还留一份，正是两侧漂移的经典形状） | 结构性的一处：gm_patch_probe.rs 原先挂着 8 处逐项豁免，而它**在产品二进制里根本不需要存在** （本 crate 里只有判据用它；build.rs 走的是 include!，那是**另一次编译**，与本行无关） ⇒ lib.rs 改成 #[cfg(test)] mod，8 处豁免一次删清，只留 1 条**跨编译边界**的结构性收据。 hlc.rs 的模块级豁免同理撤掉（丙-③-b 落地后，按文件头那张清单逐条核过）：StampedRecord / winner / merge_record / projection / without_stamp / Hlc::counter / Hlc::device_id **只服务判据与仿真夹具** ⇒ 各自 #[cfg(test)]（"产品里根本不存在"比"编进来了但没人用"诚实）。 其余无名无期的豁免（net.rs、pairing.rs、crypto.rs ×5、pdfium_native.rs ×2、plugins.rs） 一律**补上日期 ＋ 删除条件**；sync.rs:530 那条则是直接删掉（它什么都没挡）。 ## ★ 稽查查出一处真缺口（不是清理顺手改的，要单独立片） **收侧没有 observe**：sync.rs::apply_pulled_changes 拿到远端戳之后只做了 verdict， **没把本机时钟推过它** ⇒ hlc.rs 文件头那条"因果一定在序里"在**对端时钟快**时不成立： 本机随后的一次编辑可能拿到**小于**刚收到那枚戳的新戳，于是"因果上更晚的改动"在 verdict 里 反而判给远端。Hlc::observe 因此今天**没有产品调用方** —— 它带着一条有日期的收据 （删除条件写在函数上方），**不是**把它 #[cfg(test)] 掉：那正好会把缺口藏起来。 修它要单独一片，且**先立判据**：造一个"时钟快一小时的对端"，要求它**压不住**后续本地编辑。 ## 防复发：新门禁 check-dead-code-receipts（contract 组） 纪律只写在文档里会漂，所以把"收据"变成断言：每处 #[allow(dead_code)] 必须**三选一** —— ① 删掉那段死代码；② 只有判据/夹具在用 ⇒ 门进 #[cfg(test)]；③ 确实要留 ⇒ 写一句 // ★ YYYY-MM-DD 收据：为什么留 ＋ 什么时候删。 - **它不判**理由好不好、也不判代码该不该留（那要人读）：只判"**有没有人会想起来它**"。 - 命中必须**在代码里**（复用 lib/rust-scan.mjs 的区域掩码）：仓里有**十几处注释在讲这件事** （"删掉 lib.rs 里那行 #[allow(dead_code)]"），grep 式扫描会把它们全算成违规 —— 自测里有这一格（"空输出与零命中是两件事"那一族）。 - 生成物（capabilities_gen.rs，豁免由生成器统一决定）显式列进 EXEMPT，门禁**每次都打印**它， 而不是假装没看见。 - 自测 scripts/check-dead-code-receipts.test.mjs **14 条**，含**三条变异实测**：抹掉真实文件 （hlc.rs）里的日期 ⇒ 那一条当场变红；"缩进过的文档注释"与"注释里的假命中"各有一条 —— 前者是我这次真踩到的假红（#[allow] 上面缩进 4 格的 /// 被判成代码）。 顺带：门禁条数 48 → **49**（docs/TESTING.md 的名字表与「机器事实」块、tests/baseline.json 的 gates.contract 与 note 同步更新）。 ## 读数 - **编译告警**：cargo check --lib **0** / cargo check --lib --tests **0**（此前 **11 / 7**）； - **Rust 全量**：**699 passed / 0 failed / 20 ignored**（scripts/win-cargo-test.ps1）； - **vitest**：**2367 passed / 12 skipped（0 failed）**（其中新门禁自带判据 **14** 条）； - **tsc --noEmit**：**0**；**pnpm verify 默认组**：**32 条门禁全绿**（含新门禁与 check-doc-facts）； - 判据计数**只增不减**：tests/baseline.json 的 gates.contract 加一条新门禁（它不按用例数计， 故**不动** counts 的 11 个下限）。 ## ⚠️ 仍然没做（与上一片相同，没有变化） 1. **真机两设备复验**（要人手）：两台机器各自填监听地址、开面板点一次「立刻交换一轮」。 本机判据只能到「内核 ＋ 编排 ＋ 门槛 ＋ 发现层口径」这一层（真环回已验，**跨机器**没验）。 2. 可选：把交换并进「同步」按钮或按周期自动跑（今天与甲档一样是手动，**不是缺陷**，是口径）。 ⚠️ 另一条**必须记住的口径**：网格只服务**当前空间那一条档案**（space_id 是它用来对暗号的东西） ⇒ 没有任何 sync_profiles 行的空间暂时用不上网格。 | 29 天前 | |
feat(backup): task-20 —— 自动备份补两条后端命令（只读读数 ＋ 立刻备份一次）⇒ 界面那格从「读不到」变成**真读数** ⭐ 来由： task-19 把界面接上之后，**查出一条真缺口** —— 后端**明明有**这个能力（备份真的在跑 ✓）， 却**没有任何命令**把读数给前端 ✗、也没有命令能"立刻备一次" ✗ ⇒ 界面只能**如实说"读不到"** ✓ （⛔ 它没画假开关／假按钮 ✓）。本笔把那两个口**开出来** ✓，⛔ **一条备份逻辑都不重写** ✗。 - src-tauri/src/auto_backup.rs：新增 SnapshotEntry{name,unix,size} ／ SnapshotList{entries,bytes,last_success_unix} ／ list_snapshots(dir)（⭐ **纯 std ＋ 文件系统 ⇒ 拿真临时目录可单测** ✓）。 · ⚠️ **既有的 Snapshot{name,unix} 一个字没动** ✗（它是保留策略的输入 ⇒ 动它会牵动既有判据 ✓） ⇒ 另加一个**带 size** 的旁路类型 ✓（"共多大"因此**不用猜** ✓） · ⭐ **复用既有口径**：过滤走 is_valid_snapshot（0 字节／.part 都不算一份 ✓）——⛔ 不写第二份 ✗ · ⭐ 两种"没有"**分得很清**：目录**不存在** ⇒ Ok(空) ＝ **真的 0 份** ✓；read_dir **失败** ⇒ Err(原因) ✓ - src-tauri/src/backup.rs：新增 #[tauri::command] auto_backup_status(app) ⇒ 目录（⭐ 与 run_auto_backup_once **同一算法** app_data.join("backups") ✓）＋ 份数 ＋ 共多大 ＋ 上次成功时刻 ＋ 每条快照 ＋ **保留窗口（⭐ 取自 auto_backup::KEEP_DAYS/WEEKS/MONTHS ⇒ ⛔ 不写死数字 ✗）** ＋ unreadable（读不到时的**一句人话** ✓） - src-tauri/src/backup.rs：新增 #[tauri::command] async fn auto_backup_run_now(app) ⇒ ⭐ **直接调既有的 run_auto_backup_once** ✓（⛔ 不重写 ✗），回 {ran, kept, removed, note} ✓； **跳过／失败都照实回**（ran: false ＋ note ＝ 原因 ✓，⛔ 不假装成功 ✗） - src/components/BackupSettingsPanel.tsx： · 新增 factsFromStatus(status, failureReason)（纯函数 ⇒ 判据直接测 ✓）： **读不到 ⇒ unreadableReason** ✓（判据 b：⛔ 不许把"读不到"显示成 0 份 ✗）；**真的 0 份照实显示** ✓ · 新增常量 AUTO_BACKUP_STATUS_COMMAND / AUTO_BACKUP_RUN_COMMAND ✓；挂载时取一次 ✓；「刷新读数」✓ · **「立即备份一次」按钮**（⭐ 现在它是**真的**：命令存在 ✓）＋ 跑完**立刻刷新读数** ✓ · ⭐ 保留窗口**优先用后端给的**（facts.windows ✓）；界面那份 BACKUP_RETENTION 只作**兜底** ✓ · ⛔ 仍然**不画开关**（后端没有这个能力 ✓）、⛔ 手动导出／导入**仍复用**既有 <BackupButton /> ✓ - 四处配套 ✓：lib.rs（**只追加 3 行登记** ✓）／commands.ts（两条声明 ✓）／ web.ts（**两条同形 stub** ✓ —— 照 check-web-commands 规则 1 的硬要求 ✓）／ docs/TESTING.md（<!-- facts:begin --> 命令数 277/258/278 ⇒ **279/260/280** ✓，标记外一字未改 ✓） - 新四条（src/components/BackupSettingsPanel.test.ts）：g) 只读命令**三处同名** ＋ 面板真的去取 ｜ h) **反向**：取不到 ⇒ 读不到、⛔ 不显 0 份 ｜ i) **反向**：窗口**不许在界面写第二遍** ｜ j) 写命令三处同名 ＋ 面板那个按钮真的调它 ＋ ⛔ 不重写备份逻辑 - **红读数逐字**（四条新判据写下去的当场）： ⎯⎯⎯⎯⎯ Failed Tests 4 ⎯⎯⎯⎯⎯ AssertionError: Rust 侧没有 pub fn undefined: expected 'use crate::db::Db;\nuse serde::Serial…' to match /pub (async )?fn undefined\s*\(/ TypeError: factsFromStatus is not a function（×2） ⇒ Test Files 1 failed (1) ／ Tests 4 failed | 6 passed (10) - **绿**：npx vitest run src/components/BackupSettingsPanel.test.ts ⇒ **10 passed** ✓ - Rust 侧新三条（auto_backup::snapshot_list_tests，**真临时目录** ✓）： 3 passed; 0 failed（列有效快照／总大小／上次时刻；"目录不存在＝真的 0 份"；"加一份 ⇒ 份数 +1" ✓） task-15 我给 office_import_take 套了 #[cfg(not(test))]（当时为了保住"裸 rustc --test 跑单测"✓）， ⚠️ **但它让 cargo test --lib 编不过** ✗ —— lib.rs 的 generate_handler! 仍引用那条命令，而 cfg(test) 下它不存在 ⇒ error[E0433]: could not find __cmd__office_import_take in office_import ✗ （实测 cargo test --lib --no-run ⇒ error: could not compile shuyonote (lib test) due to 2 previous errors ✓）。 ⇒ 本笔**去掉那个门** ✓（★ **保 lib 测试面**：那是 CI 与所有人的入口 ✓）＋ 把文件头那句"纯 std ⇒ 裸 rustc --test" 改成如实说明 ✓。修完 cargo test --lib --no-run ⇒ **exit 0**（Finished test profile in 57.71s）✓ 任务书给的验收命令 _tmp/scratch/mesh-lib-test.ps1 **测的不是我这棵树** ✗：它的 crate root 是 Split-Path -Parent $PSScriptRoot，从 _tmp\scratch 起算 ⇒ 父目录没有 src-tauri\Cargo.toml ⇒ **一律回落到 repos\ShuyoNote（主检出／mesh 那条线）** ✗ ⇒ 我在 office2 里改 Rust，它却报 773 passed / exit 0 ✗（**当场的真相是：这棵树根本编不过** ✗ —— 就是 ⑤ 那条 ✓）。 ⇒ 我另写了一份**同机制、root 钉在 office2** 的运行器（_tmp/scratch/office2-lib-test.ps1，纯 ASCII ✓， 复用"拷 exe ＋ mt.exe 注入 v6 清单"那套 ✓）⇒ 才拿到本树的真读数 ✓（见 ④ ✓）。 ⚠️ 未做：⛔ 没有改那份给 mesh 用的脚本本身（不在我写域 ✓）—— 请 Lead 定要不要把 root 改成参数 ✓ | 命令 | 读数 | |---|---| | npx vitest run src/components/BackupSettingsPanel.test.ts | **10 passed** ✓ | | npx tsc --noEmit | **0** ✓ | | cargo check --lib | **exit 0**（21 warning 全既有）✓ ＋ ⭐ app exe 指纹跑前跑后**逐字一致** ✓ | | cargo test --lib --no-run | **exit 0** ✓（⑤ 修完之后 ✓） | | office2 本树的 lib 测试（-Skip plugins::） | **751 passed; 0 failed; 20 ignored**（test exe exit code = 0，575.30s）✓ ｜ 我的新三条：3 passed; 0 failed ✓ ｜ office_import::tests：**7 passed** ✓（⑤ 修完 ⇒ 它们**回到 lib 测试面**上了 ✓） | | check-web-commands | **exit 0**：Rust 279 个命令，web.ts 全部实现（web 共 260 个），CommandMap 契约全覆盖（280 个…） ✓ | | check-doc-facts | **exit 0**：✓ 文档事实与代码一致：80 条门禁 … ＋ 能力/命令数一致 … ✓ | | node scripts/test-report.mjs --retry 1 | **61 条门禁 / 失败 0 条** ✓ | - 跑前：backups/ 里 **2 份**有效 zip（103.9 MB 10-09 18:15 / 104.1 MB 10-10 10:56） - 跑 ShuyoNote.exe --backup-once（⭐ **无头那一条**，走的就是 run_auto_backup_once ＝ 我这条写命令**包装的同一个函数** ✓；⛔ 没 build ✓）：退出码 **0**， stderr 逐字：[auto-backup] headless size=109177808 skipped=1 - 跑后：**仍然 2 份**，但最新那份换成了 shuyonote-backup-1791602084968.zip（104.1 MB 11:17:26）✓ ⇒ ⭐ **新的一份真的产生了** ✓；而**份数没变**是因为 retention_keep 的**同一天只留最新一份** ✓ （10:56 那份被 11:17 那份替代 ✓，正是文档里那条策略 ✓）⇒ ⚠️ 这一条**不能**用"份数 +1"当判据 ✗ - ⚠️ 未做：**没有**通过新加的那条命令（auto_backup_run_now）跑过真备份 —— 那要 GUI／真宿主 （app.state::<Db>()）⇒ 归 Lead 的运行时验收 ✓（本笔 ⛔ 不声称点过界面 ✗） - ⚠️ **机器在负载上**：owner 的 npx tauri dev 在跑（cargo 进程在 ✓）⇒ 本笔多数读数偏慢 （cargo test --no-run 57.71s ／ lib 全量 **1023.35s** ✗） - ⚠️ **不是混合树**：开工时 git status --porcelain **空** ✓（releaser 的文件关联已落 1d7f5d90 ✓）； 本笔只动写域那 7 个文件 ✓ - ⚠️ **共享 target 目录的坑（新发现）**：office2 没有自己的 target/，我一直用 CARGO_TARGET_DIR=<主检出 target>（为的是 ⛔ 不重建/不替换 owner 正在看的 app exe ✓）； 而两个**不同源树**共用同一个 target 会让 cargo 每次**互相重编**那个 lib 单测单元 ✗ （实测：主检出的 harness 跑完，office2 的测试就不在 exe 里了 ✗）⇒ 判据要看"**最后那次是谁编的**" ✓ src-tauri/src/auto_backup.rs ／ src-tauri/src/backup.rs ／ src-tauri/src/lib.rs（**只追加 3 行** ✓） ／ src/lib/platform/commands.ts ／ src/lib/platform/web.ts（**只加两个同形分支** ✓） ／ src/components/BackupSettingsPanel.tsx ／ docs/TESTING.md（**只动 facts 块一行** ✓） ＋ ⭐ src-tauri/src/office_import.rs（⑤ 那条**我自己埋的回归**的修正：删一个 #[cfg(not(test))] ＋ 改文件头注释 ✓） | 15 天前 | |
chore(清理): 死代码稽查一轮 —— 编译告警 11 ＋ 7 → **0**，并把「收据」变成门禁 ## 这一轮做了什么 owner 让"清冗余代码"。先做最便宜、也最该先做的一件事：**把编译器的话当真** —— cargo check --lib 报了 11 条、cargo check --lib --tests 报了 7 条，逐条查完之后**两边都是 0**。 但查的过程里发现的不是"几个小毛病"，而是**一整类没人管的东西**：#[allow(dead_code)] **不产生任何输出** ⇒ 它什么时候过期了、它挡住了什么，都不会有人看见。四个真现场： | 现场 | 真身 | 处置 | |---|---|---| | sync.rs::IncomingChange.seq 挂着豁免 | 它**被生产代码读了 8 处**（apply_pulled_changes 那一整段）⇒ 豁免早就过期 | 删豁免（**不是**删字段：字段是活的） | | commands.rs::mupdf_compiled() | body 就是 cfg!(feature)；**唯一使用者**是一条 assert_eq!(cfg!(f), cfg!(f)) 的判据 —— 恒真、零覆盖 | 函数与那条空转断言一起删；"编没编"改由 ensure_mupdf_available() 的两半真验 | | security.rs 的夹具生成器 | 一次"文档与属性被留在上一个函数下面"事故 ⇒ 一个生成器**被 libtest 注册两遍**（跑两遍），另一个**彻底不可达** | 属性归位 ＋ 新判据 the_manual_fixture_generators_keep_their_attributes_next_to_them 钉住 | | build.rs::find_gm_marker_deprecated | 实现早搬进 gm_patch_probe.rs（好让判据驱动它），**副本还留着**，靠无名无期的豁免挂着 | 删副本（搬走了还留一份，正是两侧漂移的经典形状） | 结构性的一处：gm_patch_probe.rs 原先挂着 8 处逐项豁免，而它**在产品二进制里根本不需要存在** （本 crate 里只有判据用它；build.rs 走的是 include!，那是**另一次编译**，与本行无关） ⇒ lib.rs 改成 #[cfg(test)] mod，8 处豁免一次删清，只留 1 条**跨编译边界**的结构性收据。 hlc.rs 的模块级豁免同理撤掉（丙-③-b 落地后，按文件头那张清单逐条核过）：StampedRecord / winner / merge_record / projection / without_stamp / Hlc::counter / Hlc::device_id **只服务判据与仿真夹具** ⇒ 各自 #[cfg(test)]（"产品里根本不存在"比"编进来了但没人用"诚实）。 其余无名无期的豁免（net.rs、pairing.rs、crypto.rs ×5、pdfium_native.rs ×2、plugins.rs） 一律**补上日期 ＋ 删除条件**；sync.rs:530 那条则是直接删掉（它什么都没挡）。 ## ★ 稽查查出一处真缺口（不是清理顺手改的，要单独立片） **收侧没有 observe**：sync.rs::apply_pulled_changes 拿到远端戳之后只做了 verdict， **没把本机时钟推过它** ⇒ hlc.rs 文件头那条"因果一定在序里"在**对端时钟快**时不成立： 本机随后的一次编辑可能拿到**小于**刚收到那枚戳的新戳，于是"因果上更晚的改动"在 verdict 里 反而判给远端。Hlc::observe 因此今天**没有产品调用方** —— 它带着一条有日期的收据 （删除条件写在函数上方），**不是**把它 #[cfg(test)] 掉：那正好会把缺口藏起来。 修它要单独一片，且**先立判据**：造一个"时钟快一小时的对端"，要求它**压不住**后续本地编辑。 ## 防复发：新门禁 check-dead-code-receipts（contract 组） 纪律只写在文档里会漂，所以把"收据"变成断言：每处 #[allow(dead_code)] 必须**三选一** —— ① 删掉那段死代码；② 只有判据/夹具在用 ⇒ 门进 #[cfg(test)]；③ 确实要留 ⇒ 写一句 // ★ YYYY-MM-DD 收据：为什么留 ＋ 什么时候删。 - **它不判**理由好不好、也不判代码该不该留（那要人读）：只判"**有没有人会想起来它**"。 - 命中必须**在代码里**（复用 lib/rust-scan.mjs 的区域掩码）：仓里有**十几处注释在讲这件事** （"删掉 lib.rs 里那行 #[allow(dead_code)]"），grep 式扫描会把它们全算成违规 —— 自测里有这一格（"空输出与零命中是两件事"那一族）。 - 生成物（capabilities_gen.rs，豁免由生成器统一决定）显式列进 EXEMPT，门禁**每次都打印**它， 而不是假装没看见。 - 自测 scripts/check-dead-code-receipts.test.mjs **14 条**，含**三条变异实测**：抹掉真实文件 （hlc.rs）里的日期 ⇒ 那一条当场变红；"缩进过的文档注释"与"注释里的假命中"各有一条 —— 前者是我这次真踩到的假红（#[allow] 上面缩进 4 格的 /// 被判成代码）。 顺带：门禁条数 48 → **49**（docs/TESTING.md 的名字表与「机器事实」块、tests/baseline.json 的 gates.contract 与 note 同步更新）。 ## 读数 - **编译告警**：cargo check --lib **0** / cargo check --lib --tests **0**（此前 **11 / 7**）； - **Rust 全量**：**699 passed / 0 failed / 20 ignored**（scripts/win-cargo-test.ps1）； - **vitest**：**2367 passed / 12 skipped（0 failed）**（其中新门禁自带判据 **14** 条）； - **tsc --noEmit**：**0**；**pnpm verify 默认组**：**32 条门禁全绿**（含新门禁与 check-doc-facts）； - 判据计数**只增不减**：tests/baseline.json 的 gates.contract 加一条新门禁（它不按用例数计， 故**不动** counts 的 11 个下限）。 ## ⚠️ 仍然没做（与上一片相同，没有变化） 1. **真机两设备复验**（要人手）：两台机器各自填监听地址、开面板点一次「立刻交换一轮」。 本机判据只能到「内核 ＋ 编排 ＋ 门槛 ＋ 发现层口径」这一层（真环回已验，**跨机器**没验）。 2. 可选：把交换并进「同步」按钮或按周期自动跑（今天与甲档一样是手动，**不是缺陷**，是口径）。 ⚠️ 另一条**必须记住的口径**：网格只服务**当前空间那一条档案**（space_id 是它用来对暗号的东西） ⇒ 没有任何 sync_profiles 行的空间暂时用不上网格。 | 29 天前 | |
test(mesh): P1 夹具片 —— 三条直连判据改走真身份＋签名（摘掉 lan-token 那一档） 设备直连同步 **P1**（登记落点已在 1C 做完 ✓ ⇒ 这片**只碰 mod tests** ✓，生产码 **0 行** ✓）。 ## 为什么这片必须**原子落地**（⛔ 不留半红 ✗） 三条判据今天的鉴权走的是**口令/哈希那一档** ✗（逐字 Some("lan-token") ✓）⇒ 摘掉它而不登记真公钥 ⇒ 必然 401 ✗ ⇒ 所以"判据改签名"与"夹具登记"必须**同一次**落 ✓（先写死红、再补绿 ✓）。 ## 两个夹具（都在 mesh.rs 的 mod tests ✓） - real_pubkey(conn) :3758 ＝ device_key::load_or_create(conn).public_key_hex() ✓； - trust_conn(win, proto, device, conn) :3770； - signed_get(conn, addr, target) :3781 ＝ 走**生产** sign_request ✓、space 从 **?space_id=** 取 ✓（**真用上了** ✓：wildcard 那条新增了 401／200 前提读数 :3956-3972 ✓）。 ⭐ **一处偏差（作业单的错，已在实现里纠正 ✓）**：原计划的 trust_test_identity(proto)（**进程级** "me" ＋ 自由函数 mesh::add_paired_pubkey） 在这三条上**不成立** ✗ —— 三条**进门的是判据自己那份 conn**（pull_and_absorb 内部用 sync::device_id(&g) ＋ sign_request(&g, …) ✓ mesh.rs:390-397 ✓）⇒ 门口要登记的必须是**那一份 conn 的真公钥**，设备号是 "A"／"B"（⛔ 不是 "me" ✗）； 且⚠️ **自由函数会落错门** ✗（它按"服务该空间的**第一扇**门"找 ✓ :1330-1336），而判据 1 里**两扇门服务同一个 space-x** ✓ ⇒ ⭐ 一律用**手柄指名那一扇** ✓（本仓 :5054-5056 已记过这条坑 ✓）。 ## 红 ⇒ 绿（变异证据，逐字 ✓） **变异＝注掉 trust_conn 里那一步登记** ⇒ 三条全红 ✓： text …two_clients_converge… panicked at src\mesh.rs:3216:10: called Result::unwrap() on an Err value: "对端 A 回了 401 Unauthorized" (exit 101) …a_wildcard_bound_window… panicked at src\mesh.rs:3963:9: assertion left == right failed: 登记过 A 的真公钥 ⇒ A 的真签名必须放行 (exit 101) …the_product_entry… error: Some("对端 A 回了 401 Unauthorized") (exit 101) **还原 ⇒ 绿** ✓：-Filter mesh ⇒ test result: ok. 110 passed; 0 failed; 2 ignored; 966 filtered out ✓ ｜-Filter pair（覆盖加注释那几处 ✓）⇒ 68 passed; 0 failed ✓。 ⚠️ 它自己第一版的错也记着 ✓：前提读数原用 win_b.addr() ＝ 0.0.0.0:port ⇒ connect 直接 panic ✓ ⇒ 改 127.0.0.1:port ✓。 ## 逐处改动（③④） 判据 1 :3196/:3197 登记 ＋ :3213/:3231/:3249 Some("lan-token") ⇒ None ✓；判据 2 :3944 登记 ＋ :3980 ⇒ None ✓； 判据 3 :4182 登记 ＋ :4178 set_pair_secret(…, None) ✓。 逐处一行表：pairing.rs:769／:920 **留＋注释**（纯形状 ⇒ 真钥匙无信息增益 ✓）｜⭐ mesh.rs:4830 **本来就是真钥匙** （id_peer.public_key_hex() ✓）⇒ 不动 ✅｜sync.rs:4770/4870/4871 **留＋注释** ✓｜sync.rs:9143（＋断言 :9203/:9247）**留＋注释** ✓ （全程无验签 ✓；将来要换就**三处一起**换 ✓）｜sync.rs:9426 注明**形状例** ✓｜mesh.rs:3533＝**附件内容哈希** ⇒ 不动 ✓｜ lan_state.rs:1490 原码已有注释 ⇒ 不动 ✓｜mesh.rs:4908 同族 ⇒ 留 ✓。 ⚠️ 表外仍有 **16 处** Some("lan-token")（裸 GET／附件／T-10／口令强度 ✓）**本片没动** ✓ —— 门的**旧档仍在** ✓（P2 才拔 ✓）。 ## 收口 ⭐ exe 新鲜度 ✓：shuyonote_lib-bd11d4f99cbb6589.exe mtime **10:29:26** 比四份源都新 ✓（认的是 shuyonote_lib-*.exe ✓）。 git status --porcelain ⇒ **只有 3 个** ✓：M mesh.rs／M pairing.rs／M sync.rs（lan_state.rs 无需改 ✓）； git diff -U0 的**每个 hunk 尾都在测试模块内** ✓ ⇒ ⛔ **无一行生产码** ✗。 ## 两处留白（Lead 已拍 ✓） 1. ⛔ **不加**"进程级真身份 trust_test_identity" ✗ —— 裸 GET 那一档**今天用不上**，为凑名字加没人用的夹具是**噪音** ✓（**将来 P2 真需要再加** ✓）； 2. target\debug\deps\ 那 **9 个残留 *-v6-*.exe** ⇒ ⛔ **不动** ✗（共用脚本的产物、"不许删别人的副本" ✓）。 ⚠️ 一条工具笔记（值得记 ✓）：Get-Content 对这些 .rs（含中文）**行号不准且会乱码** ✗（mesh.rs 它数 4416、真值 **5366** ✓） ⇒ 量行号一律用 read／grep ✓。 （分工如实记 ✓：设计与交棒 merge-identity ✓、执行 forgot-overlay-scout ✓；⛔ 小弟没 commit ✗；终验／提交／推送归 Lead ✓。） | 12 天前 | |
feat(sync): 一方配对成功 ⇒ 双向通（收到「想信任」这一侧也登记对面） owner 2026-10-17 逐字：「**一方配对成功，就双向通**。」（取代 2026-10-12 的「单方信任 ⇒ 单向」） 真机来由：AMD 侧配对后拉本机**每一轮 401**（「这张卡不在这台的名册里」）—— 单方配对只开了一个方向，对面永远拉不到本机。 ## 改了什么 - sync::note_pending_trust_asks：收到对面那一轮 trust_ask（且是**这条空间**的对端、公告里带合法公钥） ⇒ ⭐ 本机**也把对面登记上**：db::pair_pubkey ＋ mesh::add_paired_pubkey（跑着的门当场认它 ✓） ＋ note_remote_confirm（消费掉那条 ask，公告 30 秒一轮不会重复登记 ✓）。 - 登记面**故意很窄**：⛔ 不写旧那三档（卡哈希 pair_device ／ 出示那份 set_pair_secret ／ 门里的共享哈希 add_paired）✗ —— 第 3 步之后信任凭证**只有公钥** ✓（判据按源码文本钉这条 ✓）。 - 对面**没报公钥**（老版本／没开发现层）⇒ ⭐ 如实不登记 ＋ 一行日志 ✓（⛔ 不硬凑一个身份 ✗）。 - 用户文案（三处，只改字不改逻辑）： - 配对成功的 toast：已允许这台设备来拿你的内容（要双向，得它那边也点一次） → **配对成功：两边都通了 ✓** - trust_state_view 的 idle／trusted 两句：去掉"一方只开一个方向／两台各点一次" - commands.ts 的 mesh_trust_begin 文档：注明 2026-10-17 新口径 ＋ 401 真机来由 - ⚠️ **安全相关的复制文案如实化**（AMD 侧真机抓到的 device_pair_export bug ✗）： 那句「它**不含任何秘密**（只有地址和公钥）⇒ 就算被别人看到也进不来」**是假的** ✗ —— 载荷里**含明文 token（窗口口令）** ⇒ 改成「⚠️ 含窗口口令 ⇒ ⛔ 不是可以随便转发的公开材料， 只交给你自己那台 ✓」（⛔ 不改载荷形状、⛔ 不假装去掉 token ✓）。 ## 判据（⛔ 换口径不删断言：三条旧断言按 owner 新口径**反向**并写明来由 ✓） - Rust（Windows 本机，cargo test --lib 注入 v6 清单后跑）： · sync:: **113/113**（含改口径的两条：收到 ask ⇒ 登记对面／登记面只许公钥那两格） · pairing_trust:: **31/31** ＋ mesh:: **49/49**（含 one_pairing_round_opens_both_directions： A 点一次 ⇒ B 的门不用重启也认 A ⇒ A 拉 B 成功 ✓；没被允许过的第三台仍 401 ✓） - TS：tsc --noEmit 0；SyncPanel.trustDevicePanel.wiring ＋ syncPanelDevicePair.wiring **46/46** - ⚠️ 顺手修一条 **dev 上既有的红**（不是本笔引入）：record_page_upsert_attaches_crdt_state_only_when_present 在 6aacadd3（载荷挂 _space_name）之后没跟上 ⇒ 比较前把那一格与戳一起摘掉 ✓（判据意图不变 ✓）。 | 7 天前 | |
merge(pdf): feat/pdfium-bundled-font（随包字体 provider ＋ 见证；pdfium_native.rs 的测试尾部与 dev 的缺库报错判据按「两边都留」解冲突） | 1 个月前 | |
feat(pdfium): P2 运行时开关分派（SHUYONOTE_PDF_ENGINE）＋ 两套缓存互斥淘汰 ＋ 删掉模块级 allow 方案 §0.2-F 已定「分派 = 运行时开关」（不重编就能切回 MuPDF，便于灰度与回滚），本条落地它。 三处改动： 1. commands.rs 的 render_pdf_page 按 SHUYONOTE_PDF_ENGINE=pdfium 分派； 缺省/其它值 = **MuPDF（现状，默认行为不变）**。两条路径都归一成**紧凑 RGBA** （MuPDF 仍走 compact_rgba；PDFium 的 as_rgba_bytes() 本来就紧凑），前端契约零改动。 2. **两套缓存互斥淘汰**（P2 验收项之一，AMD 复核第 5 条）：两套缓存用同一个 cache_key， 切引擎时先清掉另一侧的同 key 条目 —— 否则同一份文档被两边各持一份，内存无声翻倍而两侧 LRU 互不知情。 为此给 pdf_native 加了 forget()（它原来只有 has_document）。 3. **删掉 pdfium_native.rs 的模块级 #![allow(dead_code)]**（P2 验收项之二：它现在有调用方了）。 只剩**两处逐项** allow 并说明理由：render_page（借用版，留给"还要复用字节"的调用方）与 clear()（诊断用）。 顺带修一处类型：本命令的 page_index 是 **i64**（沿用 MuPDF 那条入参），pdfium_native 收 **usize** ⇒ 显式 usize::try_from(...) 转换（第一次编译就是被这条挡下的，commands.rs:627）。 验证：cargo check --lib → **Finished，0 error / 0 warning**（Windows，OPENSSL_DIR 已设）。 ⚠️ 但按纪律 1：**Windows 编过 ≠ 结论**，请 Linux/macOS 各跑一次 cargo check --lib（写明被验 commit）。 未做（仍属 P2/P3 范围）：真实 PDF 的两引擎**对拍**（方案原话「不做对拍不算完成」）、 SHUYONOTE_PDF_ENGINE=pdfium 时的前端真机验收。 | 1 个月前 | |
perf(pdf): D1b —— 渲染命令加可选 rect 入参（只出可视区域），MuPDF 那条显式拒绝 render_pdf_page 的 args.rect（[x, y, w, h]，页面 pt、左上角为原点）： * 缺省 / null ⇒ **整页**，与 D1b 之前**逐字节同一条路**（旧前端一个字都不用改）； * 给了 ⇒ pdfium_native::render_page_rect（D1 那条，自带逐像素判据），返回的 width/height 就是这一块的像素尺寸 ⇒ 前端可据此自证"我要的块真拿到了"； * 形状只认**恰好四个数**：三个/五个一律在反序列化时报错（⛔ 不许"就近取四个"）。 MuPDF 那条**没有**裁剪入口 ⇒ 显式拒绝（MUPDF_NO_RECT：说清换 pdfium 或退回整页）。 ⛔ 不许"忽略 rect 照旧出整页"—— 那会让前端把整页图当一小块贴到左上角，**静默错位**。 "哪个引擎真有这条入口"抽成纯函数 engine_supports_rect，于是本机 Windows 也能判据化 （mupdf-rollback 在这台机器上编不了）。 判据（commands::render_rect_args_tests，5 条，都不需要 PDFium 动态库 ⇒ 本机真跑）： 缺省可得 / 恰好四个数 / 形状不对当场报错 / 只有 PDFium 声称支持 / 拒绝那句话可照着做。 **5 passed / 0 failed**；pdfium_native:: 那 11 条（含 D1 的两条）同时绿。 前端只把契约接上（界面改动在 D2）：commands.ts 的 CommandMap 加 rect? （pnpm check:web-commands exit=0、tsc --noEmit exit=0）、platform/types.ts 给 renderPdfPage 加可选第 4 参（写明"引擎做不到必须 reject ⇒ 调用方退回整页"的契约）、 tauri.ts 只在真给了 rect 时才把它放进报文（不塞 rect: undefined）。 顺带：删掉 render_page_rect 上的 #[allow(dead_code)] —— D1b 给了生产调用点 ⇒ 它不再死， check-dead-code-receipts 当场红 ⇒ 收据的删除条件成就，删掉而不是换一条新收据。 ⚠️ 本机 pnpm verify 另有两处**与本次无关**的红，留档备查： ① smoke-web 在 HEAD 上就红：ZOOM_LADDER 底是 25（与 MIN_SCALE = 0.25 自洽）， 而 scripts/smoke-web.mjs:1761 仍断言"底=50" ⇒ 是那条断言过期，不是这次改的； ② 一次 vitest 假红（并行跑时 8080 端口被占，2 个测试文件收集失败）； 单独跑 --only vitest ⇒ **3195/3209 通过、exit 0**。 | 9 天前 | |
test(picked_file): 修掉只在 Windows 成立的断言 —— CI 跑在 Linux 上，那条用例一直是红的 根因：用例里用 PathBuf::from(r"C:\Users\cnzen\report.pdf") 构造路径，再断言 effective_name() == "report.pdf"。但 \ **只在 Windows 是路径分隔符**：Linux 上整串 C:\Users\cnzen\report.pdf 本身就是一个文件名，file_name() 原样返回整串 ⇒ 这条断言 **只在 Windows 成立**，而 CI（ci.yml 的 rust-tests job）跑在 Linux。本机是 Windows， 所以它在我这儿一直是绿的 —— 典型的"本机绿 ≠ CI 绿"。 实证（774cadb 那次 CI，run 34843281361，job「Rust 测试（cargo test，含宿主子进程集成测试）」）： test picked_file::tests::desktop_paths_never_gain_a_name_or_mime_from_the_uri_layer ... FAILED assertion left == right failed left: "C:\\Users\\cnzen\\report.pdf" right: "report.pdf" test result: FAILED. 274 passed; 1 failed; 4 ignored **274 通过 / 1 失败** 这个分母说明坏的是这条断言、不是产品代码（同一 job 里其余全绿； 「单测 / 冒烟 / 契约」与「移动端布局验收」两个 job 也都是 success）。 改法：PathBuf::from("notes").join("report.pdf") —— join 用平台自己的 MAIN_SEPARATOR 组装，两个平台都得到 report.pdf。同一用例上面那两行（looks_like_uri(r"C:\…")、 name_from_uri(r"C:\…") == None）返回 false/None，不依赖分隔符，照旧不动。 自证：本机 cargo test --manifest-path src-tauri/Cargo.toml --lib 277 通过 / 0 失败； 另有一个一次性 rustc 程序（放在 %TEMP%，不进仓库）确认 join() 组装、正斜杠相对路径、 无目录部分三种写法都得到 "report.pdf"，而同一条反斜杠路径在 Windows 上也是 "report.pdf" —— 正是它"本机绿、CI 红"的原因。 | 1 个月前 | |
feat(plugin): M11.5 前置硬化——时限 / 资源上限 / 可见性 / 一致性 按 plugins/2026-09-10-plugin-evolution-plan.md 的 M11.5 落地（顺序刚性的第一档： 不修这些，后续每加一个能力都在放大一个会挂住调用方、会吃光内存、失败了还静默的运行时）。 ## 时限与资源上限（Rust） - 两个 Context 都设 RuntimeLimits：run 循环 1e6 / discovery 1e5 / 递归 256。 原来用 Context::default()，即 loop_iteration = u64::MAX（无上限）。 - loop 预算按「内存」重算并写死注释：它同时是分配循环的实际内存上限 （峰值 ≈ 迭代数 × 每次迭代分配），所以不取 1e7。 - 新增 thread-local 限流分配器 src-tauri/src/plugin_budget.rs（64 MiB 峰值预算）： · 记峰值活跃字节（alloc 加 / dealloc 减 / realloc 只算增量），避免误杀老实做 GC 的插件； · **超预算 panic 让它 unwind，而不是返回 null** —— stable Rust 下不可失败分配失败 会走 handle_alloc_error → abort 进程，能定制的 hook 是 nightly-only，所以返回 null 等于确定性弄死应用； · panic 前先放行 256 KiB 余量，否则 panic 自身的分配会二次失败 → 反而 abort； · 用字面量 panic 载荷 + 约定标记，由外层 catch_unwind 区分「超预算」与「引擎内部 panic」； · 只有被 with_budget 武装的线程计费，其它线程只多一次 TLS 读。 依据与核实过程见方案 §3.11（Boa 0.21.1 与最新 0.22.0 均无堆上限 API）。 ## 不再挂住调用方 - discovery 走带超时工作线程（3s）——此前 discovery 完全没有超时，插件顶层一个 while(true) 就能让 list_plugins 永不返回（而它是同步命令）。 - list_plugins / install_plugin / run_plugin_command 改 async：此前同步命令会占住 调用线程最多 5s。 ## 生命周期一致性 - 卸载清启停状态行（此前只删目录）——否则重装同一个 id 会静默继承旧的「已禁用」， 且残留行永不回收。 - demo 改用 .demo-seeded 播种标记：此前卸载示例插件后每次启动都会原样复活。 - 安装改「先校验后落盘」（含入口文件可加载 + 带超时 discovery），并对半残目录回滚 ——此前先 copy_dir 再校验，失败会留下占住 id 的目录，用户连重装都做不到。 ## 权限与校验 - run_plugin_command 后端校验 enabled：禁用此前只是 UI 假象，IPC 仍可直接执行。 - manifest.main 改判「单一 Component::Normal」：此前 components().count() != 1 两头都不对 ——误拒常见的 ./main.js（两个组件），放行 . 与 ..（各一个组件）。 - 插件 id 白名单另拒「全是点 / 以点结尾」（Windows 会规范化结尾的点）。 - DB 锁 poison 不再致命（into_inner 继续用），避免一次持锁 panic 让插件面板永久打不开。 - open_plugin_dir 补齐 macOS / Linux：此前只有 Windows 分支，点了完全没反应。 ## 错误可见（前端） - store/plugins.ts 的 console.error-only 全部接 toast，**保留后端原始错误文本**； 新增/卸载/启停补成功反馈；列表过期不再静默 return。 - 命令面板不再无条件报「已切换插件状态」（失败也报成功的 bug）。 - 卸载加二次确认（磁盘上是 remove_dir_all，不可恢复），与仓库其它破坏性操作一致。 ## 测试与 CI - Rust 新增 16 条：沙箱逃逸回归（断言 fetch/require/window/invoke/window 等全不存在）、 循环预算、discovery 快失败、with_timeout 通过/超时、id 白名单矩阵、main 白名单矩阵、 read_manifest 矩阵、启停往返、卸载清理、**分配炸弹只终结该次调用**、 分配器自身 5 条（含「超预算可被 catch_unwind 捕获而非 abort」）。 - 前端新增 8 条（src/store/plugins.test.ts）钉住失败可见性。 - ci.yml 新增 rust-tests job（cargo test --lib）：此前 Rust 单测不在任何 CI 里； 依赖与工具链照抄 release.yml 的 Linux 档。 验证：cargo test --lib 71 passed / 0 failed；npx tsc --noEmit 0 error； pnpm test 17 files / 122 tests；check-versions、check-web-commands、check-doc-links 全绿。 M11.5 未完成部分（如实记账）：插件日志环缓冲 + __toast 接通 UI； 长任务运行态可见且可取消。roadmap M11.5 已按实际状态标注。 | 1 个月前 | |
feat(plugin): read resident memory on Windows too, so the RSS watchdog works there resident_bytes had linux and macos arms only, so on Windows the peak was always None: the memory watchdog could never trip, and the audit could not record what a plugin actually used. Four tests were red because of it (one unit, three integration). Implemented with a hand-written Win32 FFI (OpenProcess + K32GetProcessMemoryInfo + CloseHandle) rather than pulling in a windows crate: this needs three functions and one struct, and the dependency tree here is deliberately small. PROCESS_MEMORY_COUNTERS is declared with all ten fields, since cb tells the API how large the buffer is. With the capability present on all three platforms, the peak assertion goes back to being unconditional (the intermediate Windows-only 'must record None' assertion would now forbid the correct behaviour). | 1 个月前 | |
fix(android): 临时目录全线收口——Android 上没有 /tmp，一个根因长出 8 个症状 真机点「选文件」时报「建临时目录失败（/tmp/shuyonote-picked）：No such file or directory」： std::env::temp_dir() 在 Android 上返回 /tmp，而 Android 根目录下 **没有** /tmp（TMPDIR 也没设）⇒ create_dir_all 立刻失败。桌面永远有 /tmp， 所以这个坑**只在手机上暴露**，而且每个功能只报自己那句错，看着像 N 个互不相干的 bug。 同一个根因下的生产调用点（全部改掉）： - picked_file.rs 把选中的文件复制成可读副本（② 选文件就断在这里） - backup.rs ×2 备份导出暂存 / 备份恢复解压 - plugin_index.rs 插件包（zip）解压 - workspace_io.rs ×2 空间包导出快照 / 导入解压 - storage.rs ×2 临时占用统计、清理临时文件 做法：新增 src-tauri/src/tempdir.rs；启动时（lib.rs 的 setup **第一句**）把临时根 定向到 app_cache_dir()/tmp（Android 上是 /data/user/0/<pkg>/cache/tmp：应用可写、 系统可回收），之后所有临时文件都放它下面。四种形态： - dir(tag) 已建好的唯一目录； - path(tag) 唯一路径但**只建父目录、不建叶子**——package_temp_dir() 明确要求 "解压前目标不存在"，先建好可能让解压工具报已存在； - file(tag, ext) 唯一文件路径（如快照 xxx.db）； - subdir(name) 固定名目录（选文件副本用：目录稳定、文件名唯一）。 用全局 OnceLock 而**不是**给每个函数加参数：这些调用点散在很深的工具函数里， 有的（如 plugin_index::package_temp_dir）连 AppHandle 都拿不到。未初始化时退回 std::env::temp_dir()/shuyonote，桌面行为不变；cargo test 里的 std::env::temp_dir() 保持原样（测试只在桌面跑，/tmp 一直在）。 顺带修掉一个**从来没生效过**的清理：cleanup_temp_files 按前缀 shuyonote-backup- 找，而导出实际建的是 shuyonote-export- ⇒ 那半条清理从来没命中过。现在前缀与创建时 的 tag 对齐；临时根是应用私有目录，扫它不会误删别人的文件（故意不含 picked/： 那里的副本可能还被前端引用着）。 验证：cargo check --all-targets 通过（顺手清掉 picked_file.rs 里因此变成未使用的 use tauri::Manager）；新增 5 个单测全绿（dir / path / file / subdir / 未初始化回退）。 **真机验收仍待手机连上来点一次**「选文件」——本机没有 Android 构建环境。 教训：平台约定的差异（"有没有 /tmp"）会以 N 个互不相干的报错形式出现。 **按症状逐个修等于修 N 次**，要找共同的下游依赖一次修掉。 | 1 个月前 | |
fix(plugin): remove the redundant RssWatchdog peak accessor; mark ValidateReport::errors test-only - cargo check --all-targets: 3 dead_code warnings -> 0 - Pre-existing (verified by stashing this change): plugins tests a_run_records_its_outcome_and_peak_memory_in_the_audit and export_is_queued_not_written fail on a clean tree as well; not caused by this commit. | 1 个月前 | |
feat(drafts): 草稿确认框改讲人话 —— 标题代替 UUID、来源翻成人话、Markdown 转预览、字数带千分位 现场：确认框里原先写「更新页面 91d3…（整页替换）」＋ 直接贴 Markdown 原文（ > …**一套核心** ## 0. 一句话…）⇒ 用户看到的是 UUID 与语法，不是"哪个页面、改了什么"。 改法：① Rust 侧读一次原文，摘要用**页面标题**（读不到才退回 id），并把 before_chars 与标题合成一次读取；② 前端 friendlySource() 把 external:mcp-xxx 翻成「外部 AI」；③ plainPreview() 去掉井号/引用/加粗/列表/链接记号，只留读得懂的正文；④ 字数带千分位。 判据：pluginDrafts.test.ts 9 条全绿；tsc 0 错；pnpm verify 64 条门禁全绿。 ⚠️ 这是另一条线在工作树里留下的改动（非本会话所写），按 owner 指示代为提交。 | 6 天前 | |
perf(commands): 打开笔记这条路上的 4 条命令改 async —— get_page / list_pages / get_page_blocks / get_page_props owner 2026-10-07：「点击第一条，又卡死了」✗（第一条 = 「ShuyoNote 开源生态与商业化落地执行方案」， 实测 **17.3 万字符** ✓；他库里最大的一篇是 50.2 万字符 ✓）。 **与 activity_feed 同一类问题、同一处修法** ✓：这四条原来都是 pub fn（**同步命令**）✗ —— Tauri 的同步命令跑在**主线程**上 ✓，而打开一篇笔记要**依次**过： get_page（取正文 ＋ 属性 ✓）→ get_page_blocks（块清单 ✓）→ get_page_props（属性 ✓）， 侧边栏还会再走 list_pages ✓ ⇒ 每一次都可能把主线程按住 ✓；笔记越大、这一串越明显 ✓。 **改法**：四条命令都改成 pub async fn ✓（本仓已有 121 条 async 命令的先例 ✓； State<'_, Db> 的写法与返回值都保持原样 ✓）。函数体**全同步**、一次 await 都没有 ✓ ⇒ MutexGuard（!Send ✗）不会跨 await 被持有 ✓，改的只是"跑在哪个线程"✓。 **读数**：cargo check --message-format short ⇒ Finished dev profile in 11.99s ✓ （只有那条既有的 mesh.rs:1336 paired_card_count 死代码告警 ✓，与本次无关 ✓）。 ⚠️ **如实两条**（重要）： ① 我**没能**量到用户那台窗口里的真实数字 ✗。原打算临时在窗口构建处挂 additional_browser_args("--remote-debugging-port=9222") ✓（只在设了环境变量时生效 ✓）， 但那一段我写的类型不对、**编译不过** ✗ ⇒ **我把它整个撤掉了** ✓（git checkout ✓）—— 宁可不测，也不留一个编译不过的补丁或一个后门 ✓。 ② 因此本笔的依据是"**同类问题的第二条**"＋"他报的现象" ✓，**不是**直接读数 ✓。 真正能一次分辨的是下面这个实验（已请 owner 做 ✓）： **点一条小笔记的条目**（如「素材」✓，几 KB）—— · 小笔记**也卡** ⇒ 与正文大小无关 ⇒ 就是命令/IPC 这条线 ✓（本笔正对着它 ✓）； · 只有**大笔记**卡 ⇒ 卡在编辑器解析/渲染那一侧 ✓ ⇒ 我下一步去砍那边的量（离屏渲染 / 分片 ✓）。 | 18 天前 | |
refactor(sync): 同步面板按图重写 —— 主视图只留直连状态与三段设备，其余收进「高级」 主视图（owner 2026-10-14 的图）：标题／副标题 ＋ 绿条（已配对·在线·自动同步中， 另起两行小字「监听地址／端口」与「别人拉不拉得到」）＋ 三段设备（需要重新配对／已信任／待配对） ＋ AP 隔离提示；诊断句、冲突、预算、中继、页脚全收进唯一的「高级」折叠。 拆出三个组件（SyncStatusStrip / SyncNearbyGroups / SyncAdvancedFold）。 按 owner 逐条拍板：卡片的标题与两行重复文案删掉、口令那句删掉（那一格早已不在）、 右下角那条空横线删掉（ .sync-foot 改成有话说才挂）、折叠里与绿条重复的两行读数删掉。 后端（owner 2026-10-14 拍）： - 中继那两句报错去掉本机路径（屏上不再出现 C:\Users\…；排障要看路径走 resolve_config_path）； - MeshConfigState 多一格 reach，把「别人拉不拉得到」从 note 里搬出来 —— 界面据此拆两行， note 现在只说开没开／窗口在哪。 删掉两个孤儿组件（挂载点当天先后删掉）：TrustDevicePanel 与 MeshAdvancedForm， 连同它们自己的 27 条测试；Reading 与 TrustDeviceReadings 搬进 lib/trustDevicePanelReadings。 App.css 只钉 .sync-popover.is-inline 这一档（抽屉／浮层／手机 sheet 一字未动）： 面板占满内容区并能内部滚（修前实测 1280×720 被静默裁掉 156px 且一处都滚不动， 根因是 .main > .sync-popover.is-inline 那条直子选择器从未匹配）； 状态行 17px→13.5px（它原本是全屏最大的字）、虚线空框 min-height＋居中不再裁自己的字。 判据一律「换对象不删条」（删掉的 27 条是随组件一起退役的）。 读数：tsc 0 ｜ vitest components 55 文件 / 453 条全绿 ｜ vite build 0 ｜ cargo check 0 ｜ cargo check --tests 0 ｜ check-panel-layout 61/61（真 Chromium）。 | 10 天前 | |
feat(license): keyring 换成**真实发卡公钥**（kid shuyo-lic-2026-10，第 0 代）—— 把"许可证验不过"那道 fail-closed 栏位真正接上 | 3 天前 | |
test(mobile): 把"桌面保存路径不变"变成可断言的一条 + 堵住 --check 的陈旧副本漏洞 两条都是上一提交（825caa5）承诺要补的验收缺口，也都是**发现漏洞之后**才写的。 ① save_target: 新增 SaveTarget::direct() 与单测 direct_target_writes_in_place_and_commit_is_a_noop。 为什么值得单列一个构造器：new() 要 AppHandle，单测里造不出来，于是"桌面这条路" 原本只能靠读代码相信。现在它是一条断言：内容写在目标路径上、commit 不移动不删除。 挡的是"为了 Android 顺手把桌面也改成先写缓存再搬"——那会改变桌面落盘时机与失败表现 （用户可能已经在保存对话框里建过那个文件）。 ② scripts/android-platform-verifier.mjs --check 加"注入副本必须与 scripts/vendor/ 逐字节相同"。原来只查两个补丁词在不在，于是**一份被打坏、但还留着那两个词的副本照样过关**： 2026-09-15 本机 gen/ 里那份就比源少 897 字节（多行 // 注释被并成一行、EnumSet.of( 整行没了）⇒ Kotlin 直接编不过，而 --check 当时是绿的。gen/ 不入库、CI 每次重建， 所以这个洞只有本机开发者会踩。改完立刻用它在本机复现：注入 22446 字符 / 源 23070 字符 ⇒ 该断言报红并给出"删掉 gen/ 重新 init"的修法；把文件按源重写后这条转绿。 ⚠️ 如实记：本机 gen/ 已用 pnpm tauri android init --ci 重新生成（Kotlin 副本现在 与源逐字节一致），但 --check 仍报"build.gradle.kts 里还留着旧的 AAR 注入"——那条是 gen/ 陈旧本身的另一面（新 init 不会带旧注入，说明这份 gen 是更早生成的）， 不影响 CI（CI 从零 init）。 另外如实记：本机 cargo check --lib --tests 通过，但 cargo test --lib **跑不起来** （测试进程加载期就 STATUS_ENTRYPOINT_NOT_FOUND 0xc0000139，与本改动无关， 像是本机 OpenSSL DLL 的那套 PATH 问题）。所以新增的两条 Rust 单测**以 CI 为准**。 | 1 个月前 | |
fix(search): 未输主口令时全空间搜索不再整体失败 —— 能搜的照搜，搜不到的空间点名（owner 报「不可用」） 旧写法：search.rs 里 open_space_conn(&sid)? ⇒ 任何一个加密空间没解锁就整次 Err ⇒ 界面只 console.error 后显示「无结果」，读起来就是搜索坏了。 现在：内核跳过打不开的空间并继续搜其它空间（日志记名字与原因，不打空间 id）；界面在全空间档下读一次 space_security_overview，把「N 个空间未解锁（…），结果不含它们 —— 输入主口令后可一并搜索」如实写在搜索框下。 判据：新增 src/lib/searchScope.test.ts 6 条（加密且未解锁才算／明文不算／顺序跟随侧栏／拿不到读数不许凭空说未解锁）；tsc 0 错；cargo check exit 0；pnpm verify 64 条门禁全绿。 | 7 天前 | |
fix(security): payload_passthrough_when_disabled 补上 SEC_LOCK —— 那一笔 CI 的 Rust 红是测试串行性，不是产品 bug CI 现场（32fa7ae3）： ✗ security::tests::payload_passthrough_when_disabled，断言 left（一串 base64，真的加密了）== right（"plaintext payload"）。而同模块另外几十个测试都会先 SEC_LOCK.lock()，只有它没拿 ⇒ 并行时读到别的测试开着口令的进程级状态 ⇒ 假红（同一笔在上一轮 04140cca 上是绿的）。 改法：补 let _g = SEC_LOCK.lock().unwrap();（与邻居同形），并把这条现场的逐字读数写进注释，免得下次又被当成产品回归。 验证：cargo check --tests exit 0（本机跑不了 cargo test，Rust 以 CI 为准）。 | 6 天前 | |
feat: 邮箱多账号/聚合视图完善 + 测试连接 + 多项交互修复 邮箱（聚合收件箱）： - 设置→邮箱：多账号管理面板（列表/新增/编辑/设为活动/删除）+ 表单字段美化 + 底部操作区强化 - 邮箱面板：账号「标签条」改为多选下拉筛选；新增独立账号列（与主题分隔）；工具栏三级逐级收纳防溢出；AI 总结改为酷炫弹窗（含存入笔记+属性） - 存为笔记各路径补齐属性自动填写（writeEmailProps 健壮化 + 先写属性再跳转，修复竞态） - 修复转发收件人无法输入（compose 聚焦改为打开时一次、转发聚焦收件人框） 后端： - email_fetch_all 支持 date_from/date_to + accounts 筛选；新增 email_fetch_all_months、email_test_connection - SMTP 抽出 connect_and_auth + verify（连接/认证不发信） 编辑器/通用： - 笔记标题改为自动换行自适应（超长不截断） - 看板/数据库看板卡片标题 hover 显示完整说明（新增 TruncatedText） - 数据库表格新增/移除列后自动刷新数据 - 插入菜单弹层按视口自适应高度，底部不被遮挡 - 契约层登记 email_test_connection | 1 个月前 | |
fix(vault): 锁屏那句报错去套娃、去术语，原文只进日志 —— ＋ 锁屏挂载时清陈旧报错 owner 2026-10-10 截图：锁屏上那句报错是**三层套娃**拼出来的（最里面那句对 ✓，外面套了两层开场白 ✗， 两层说的几乎是同一句 ✓）＋ 把 SM4 / HMAC-SM3 / EtM / 密文完整性校验 直接给用户看 ✗。 Lead 已批准改那三个后端文件，四处改动逐字落地： - **① space_crypto.rs::verify_master_against_keyring**：用户面**只在这一处出人话** ✓，原文进日志 ✓ eprintln! 打出 {last}（排查以它为准 ✓）＋ Err("打不开：口令不对，或者这把锁被改过 —— 内容没有被解开（详细原因已写进日志，排查时以它为准）")。 ⚠️ 注释写明**两种可能都要说** ✗ 且 ⛔ **不许假装能判是哪一档** ✗ —— 因为 AEAD 解不开时 **程序自己也分不清**是"口令不对"还是"盒子被改过"（那是设计如此 ✓，见该函数上方原注释 ✓）；假装能判就是编造 ✓。 - **② keyring.rs**：这一层**不再拼前缀** ✓ ⇒ 盒子打不开（口令不对或盒子被改过）：{e} → 这个盒子解不开：{e}（中性措辞 ✓）。 - **③ crypto_sm.rs**：⭐ **只动一句字符串** ✓ —— SM4 密文完整性校验失败（HMAC-SM3 不匹配）—— 已按 EtM 拒绝… → 密文校验不通过（内容没有被解开）。判断逻辑／Result<_, String> 一个字没改 ✓ （git diff src-tauri/src/crypto_sm.rs ⇒ **只有那一行** ✓，连注释都没加 —— 严格照"只动字符串" ✓）。 ⚠️ 本文件**没有** eprintln! 先例 ⇒ 按 Lead 已拍的口径**不在这里新加日志** ✓（"原文进日志"那半由 ① 承担 ✓）。 - **④ LockScreen.tsx**：挂载时清陈旧报错 ✓ useEffect(() => { setErr(null); }, []) （⭐ **只挂"挂载"** ✓ —— ⛔ 不挂 pass / tries ✗，那会在输入过程中清成闪烁 ✓）。 **判据 a/b/c/d（一条夹具同时踩到 ①②③ 三层：拿一个错的主口令去解袋子 ✓）** space_crypto::tests::a_wrong_master_gives_one_human_sentence_without_jargon ``text 【先红】把 ① 与 ③ 的**旧字符串**临时放回 ⇒ thread '…' panicked at src\space_crypto.rs:703:9: 旧的三层套娃前缀还在：打不开（口令不对或盒子被改过）：这个盒子解不开：SM4 密文完整性校验失败（HMAC-SM3 不匹配）—— 已按 EtM 拒绝，未做任何解密 test result: FAILED. 0 passed; 1 failed; 0 ignored; 0 measured; 936 filtered out; finished in 22.99s ⭐ 这句 panic **就是 owner 截图里那句** ✓（套娃 ＋ 术语都在 ✓） 【后绿】$ … -Filter "space_crypto::tests::a_wrong_master" ⇒ ok. 1 passed; 0 failed 断的是：a) 旧前缀**一次都不出现**（"≤1 次"的更强形式 ✓）／b) 四个术语一个都不漏 ✓／ d) 「口令」＋「改过」都在 ✓ 且不假装能判是哪一档 ✓ ＋ 说清"原文进了日志" ✓ ＋ 反向：「对的主口令必须照样解得开」✓（⛔ 别把功能关了 ✗） **c)「原文仍进日志」—— 观测到了 ✓（⚠️ 但**还不是**自动判据）** text $ <v6 清单注入后的测试 exe> space_crypto::tests::a_wrong_master_gives_one_human_sentence_without_jargon --nocapture [space_crypto] 袋子里没有任何一个盒子能被这个主口令解开（原文，排查以它为准）：这个盒子解不开：密文校验不通过（内容没有被解开） test result: ok. 1 passed; 0 failed ` ⚠️ 如实说明：libtest 会**捕获** eprintln!，所以这条只能靠 --nocapture **观测** ✓； 要变成机器判据得另想办法（⛔ 本仓**没有**现成的"捕获 stderr"手法 ✗）⇒ 已报 Lead ✓。 **e)（④ 的那条）⚠️ 如实报告：没有牙 ✗** `text 写了 e) 失败一次 ⇒ 切走 ⇒ 切回来 ⇒ 屏上不许还挂着上次那句 ✓（渲染级 ✓） $ npx vitest run src/vaultGate.test.ts ⇒ **[exit 0]** ｜ Tests 21 passed (21)（含 e) ✓） 把 ④ 那两行**摘掉**再跑同一个文件 ⇒ **[exit 0]** ｜ Tests 21 passed (21) ⚠️ **照样全绿** ✗ ⇒ 真因：切走（到明文空间）时**锁屏整块卸载** ✓ ⇒ 切回来是**重新挂载** ⇒ React 的状态本来就归零 ✓ ⇒ ⭐ 所以 ④ 那条 useEffect([]) 在这个流程上**是空操作** ✗（"看起来有、其实没牙"的形状 ✓） ⚠️ 那条用例本身**不是**完全没牙：它先断言"切走时 .lock-screen 真的为 null" ✓ ⇒ 若哪天锁屏不再随闸门卸载 ⇒ 它会红 ✓；但它**分不出 ④ 起没起作用** ✗。 ⇒ 处置建议（**请 Lead 拍**，我没擅自删也没擅自改成别的形状 ✓）： (a) ④ 留着当**双保险** ✓（无害 ✓）＋ 那条用例改名说清它钉的是"锁屏随闸门挂／卸"✓；或 (b) 找到"锁屏**不卸载**而目标空间变了"的真流程（当前界面上：锁屏的出路只列**明文**空间 ⇒ 选了就走 ✗） ⇒ 那时 ④ 该改成"活动空间变了就清"（useEffect(…, [activeSpaceId])）—— ⚠️ 那是改你批过的形状，等你拍 ✓。 ⚠️ **顺带发现（⛔ 不在我写域，只报不改）**：security.rs:877 的**文档注释**里还逐字引用着旧前缀 「盒子打不开（口令不对或盒子被改过）」⇒ 本笔之后它成了**过期文档** ✗ ⇒ 请 security.rs 的主人顺手改 ✓。 读数：npx tsc --noEmit＝0 ✓ ｜ npx vitest run src/vaultGate.test.ts src/store/space.test.ts ＝ **27 passed** ✓ ｜ Rust a/b/d ＝ 1 passed ✓ ｜ cargo check --lib ＝ exit 0（4.74s）✓ ｜ residue=0 ✓ ⛔ 未做：c) 的**自动判据**（只观测 ✓）／ e) 的**有效判据**（发现原形状无牙 ✓）—— 两条都如实报 ✓。 ⛔ 边界内：⛔ 没碰 store/space.ts ／ SettingsDialog.tsx ／ sync.rs ／ mesh_merge_ledger.rs ／ dictionary.rs ／ security.rs ／ AbilitiesPane.tsx` ✓ | 14 天前 | |
feat(crdt): 客户端「加密快照」上传切片 —— 快照源＝空间库密文，明文库当场拒，Web 明确拒绝 ## 为什么现在做（CRDT 阶段 2 最后那条路） 「新设备只用**快照 + 之后的增量**就能收敛」这条路，服务端那一半 2026-10-02 就落地了 （服务端仓 e7245bc / v17：PUT/GET /spaces/{id}/snapshot ＋ DELETE /spaces/{id}/deltas， 快照不透明、snapshotSeq 必填单调、**先落快照再退役**、没快照 ⇒ 409）。缺的一直是**客户端上传**。 ## 本片做了什么 text 新 src-tauri/src/space_snapshot_client.rs（命令 sync_upload_snapshot） · snapshot_url(base, space, seq) —— 形状带 snapshotSeq（服务端缺它 ⇒ 400，它没有默认值） · ensure_encrypted_source(path) —— 明文库**当场拒**，错误里写清后果 · read_db_bytes_encrypted(...) —— 走 backup_db_to（WAL 里未落盘的行也要在），目标库用**同一把钥匙** ⇒ 备份出来仍是密文（SQLCipher 的硬规则正好帮我们） · 上传体是**原始字节**（content-type: application/octet-stream），服务端原样落盘、不解析 · 409/401/403/413/400 各自给一句能看懂的话（不把状态码当解释） 平台层：commands.ts 登记 ＋ api.uploadSnapshot() ＋ **web.ts 明确拒绝**（它没有空间钥匙、 本地库是明文 SQLite ⇒ 传上去就是明文落云；⛔ 不是"反正服务端不解析"就能传）。 文档：施工单状态行改成"服务端已实施＋客户端上传已接、仍缺新设备冷启动"； 冲刺表 S5 显式结案（设计改道：服务端永远不开算）、S9 标已发版； docs/TESTING.md 的机器事实跟着命令数更新（Rust 299 / web 273 / CommandMap 300）。 ## 判据（都真跑了） text Rust space_snapshot_client::tests 3/3 ① snapshot_url 带 snapshotSeq 且不重复斜杠 ② 明文库（真文件头 "SQLite format 3"）被拒，错误里含「还没加密」 ③ 非 SQLite 头（密文形态）放行 TS src/lib/crdt/snapshotUpload.wiring.test.ts 4/4 ① 桌面侧必须先判密文再读字节 ② 必须带 snapshotSeq ③ Web 分支存在、理由点出"明文落云/不是密文"、且**分支里没有任何 fetch** ④ CommandMap 登记了这条命令 门禁 check-web-commands ✓（Rust 299 命令，web 全实现，CommandMap 300） tsc ✓ ｜ check-doc-facts ✓ ｜ check-plan-status ✓ ｜ check-doc-links ✓ ｜ check-fence-balance ✓ 全量 66 条：65 绿，唯一红是 vitest 的 session-grep zstd 断言（Node 24，与本笔无关） ## ⚠️ 本片**没做**（别当成已全通） 1. **新设备「先取快照、再取增量」的冷启动** —— 要动 pull 的冷启动路径，下一片。 2. **自动上传的阈值/时机** —— 取决于服务端**配额与限流语义**，那两项在施工单里仍是"未定"， 所以本片只给**显式命令**，时机由调用方定（不发明一个会改语义的默认值）。 3. **真机端到端**（真 PUT 到一台真服务器 / 真新设备拉回来）—— 本机没有可用的加密同步空间， 如实记：这一片只到"命令 + 判据"，端到端留给 CI/真机通道。 | 2 天前 | |
feat(storage): 给加密空间补老明文的加密副本（owner 拍「甲」） 甲 = 只补、不删：给「引用老明文、自己目录里却没有副本」的加密空间各补一份**加密**副本，老布局那份一个字节不动（实测同一份被明文空间「工作」和加密空间「保险柜」共用 ⇒ 删了会把明文空间弄坏）。 adopt_one：先核 sha256（内容寻址 ⇒ 写错一次就是永久错）⇒ 不符就报错且什么都不写；已存在则幂等跳过；加密用该空间的会话钥匙（space_app_keys_for_path），钥匙不在（未解锁）就如实跳过并写明原因，不猜、不先写明文。 体检同步加了 encrypted_refs_no_private_copy（真正在偷读老明文的那一份）与 encrypted_refs_with_private_copy；两者共用同一遍扫描，免得两条读数分家。 判据（Rust）：补出来必须是密文、必须解得回原字节、老那份必须逐字节未动、再跑一次不写、指纹不符时报错且目录里不出现任何东西。登记：lib.rs handler + commands.ts + check-web-commands 的桌面专属（会写盘、要会话钥匙 ⇒ Web 给不了），并同步账本 sha。 storage:: 模块 5 passed; 0 failed；pnpm verify 与 check:web-commands / tsc 全绿。 | 14 天前 | |
feat(crdt): 客户端「加密快照」上传切片 —— 快照源＝空间库密文，明文库当场拒，Web 明确拒绝 ## 为什么现在做（CRDT 阶段 2 最后那条路） 「新设备只用**快照 + 之后的增量**就能收敛」这条路，服务端那一半 2026-10-02 就落地了 （服务端仓 e7245bc / v17：PUT/GET /spaces/{id}/snapshot ＋ DELETE /spaces/{id}/deltas， 快照不透明、snapshotSeq 必填单调、**先落快照再退役**、没快照 ⇒ 409）。缺的一直是**客户端上传**。 ## 本片做了什么 text 新 src-tauri/src/space_snapshot_client.rs（命令 sync_upload_snapshot） · snapshot_url(base, space, seq) —— 形状带 snapshotSeq（服务端缺它 ⇒ 400，它没有默认值） · ensure_encrypted_source(path) —— 明文库**当场拒**，错误里写清后果 · read_db_bytes_encrypted(...) —— 走 backup_db_to（WAL 里未落盘的行也要在），目标库用**同一把钥匙** ⇒ 备份出来仍是密文（SQLCipher 的硬规则正好帮我们） · 上传体是**原始字节**（content-type: application/octet-stream），服务端原样落盘、不解析 · 409/401/403/413/400 各自给一句能看懂的话（不把状态码当解释） 平台层：commands.ts 登记 ＋ api.uploadSnapshot() ＋ **web.ts 明确拒绝**（它没有空间钥匙、 本地库是明文 SQLite ⇒ 传上去就是明文落云；⛔ 不是"反正服务端不解析"就能传）。 文档：施工单状态行改成"服务端已实施＋客户端上传已接、仍缺新设备冷启动"； 冲刺表 S5 显式结案（设计改道：服务端永远不开算）、S9 标已发版； docs/TESTING.md 的机器事实跟着命令数更新（Rust 299 / web 273 / CommandMap 300）。 ## 判据（都真跑了） text Rust space_snapshot_client::tests 3/3 ① snapshot_url 带 snapshotSeq 且不重复斜杠 ② 明文库（真文件头 "SQLite format 3"）被拒，错误里含「还没加密」 ③ 非 SQLite 头（密文形态）放行 TS src/lib/crdt/snapshotUpload.wiring.test.ts 4/4 ① 桌面侧必须先判密文再读字节 ② 必须带 snapshotSeq ③ Web 分支存在、理由点出"明文落云/不是密文"、且**分支里没有任何 fetch** ④ CommandMap 登记了这条命令 门禁 check-web-commands ✓（Rust 299 命令，web 全实现，CommandMap 300） tsc ✓ ｜ check-doc-facts ✓ ｜ check-plan-status ✓ ｜ check-doc-links ✓ ｜ check-fence-balance ✓ 全量 66 条：65 绿，唯一红是 vitest 的 session-grep zstd 断言（Node 24，与本笔无关） ## ⚠️ 本片**没做**（别当成已全通） 1. **新设备「先取快照、再取增量」的冷启动** —— 要动 pull 的冷启动路径，下一片。 2. **自动上传的阈值/时机** —— 取决于服务端**配额与限流语义**，那两项在施工单里仍是"未定"， 所以本片只给**显式命令**，时机由调用方定（不发明一个会改语义的默认值）。 3. **真机端到端**（真 PUT 到一台真服务器 / 真新设备拉回来）—— 本机没有可用的加密同步空间， 如实记：这一片只到"命令 + 判据"，端到端留给 CI/真机通道。 | 2 天前 | |
feat(sync): **L4b —— 客户端跳号检测 ＋ 回退**（帧带 seq 的消费侧；与服务端 cb16f74 成对） ⚠️ 本笔**只提交这 4 个文件**（**显式 pathspec**）—— 因为工作树里 src-tauri/src/mesh.rs 与 scripts/verify-mesh-ten-devices.mjs 是**别的队友**在做的（T-10）⇒ 不加 pathspec 会扫走它们的半成品。 ## 做了什么 ``text ① **纯函数两枚**（口径唯一）： frame_seq(payload) -> Option<i64> —— 老服务端／ping／非 JSON ⇒ **None** ⇒ ⚠️ **不猜、不拿 0 冒充**（"跳号检测不能建立在编的数上"） is_seq_gap(last_seq, seq) -> bool —— last>0 && seq > last+1 ⇒ 第一帧不判／重复乱序不判／**水位只许前进**；saturating_add 防溢出 ② **出口**：StreamChange 加 seq / gap ⇒ gap != None 就是"**该立刻拉**"那条信号 ＋ StreamStatus 加三个读数（last_seq / gap_count / last_gap_seq）⇒ 排错时看得出"跳号过几次、到哪个 seq" ③ **消费侧**：useSyncStream 的分支 if (kind === "ping") ⇒ if (kind === "ping" || gap != null) ⇒ ⚠️ **走同一分支**（立刻 pullOnce，**不去抖**）—— **不新造第二条路** ④ 文件头就地写清三条边界：**服务端行为不变**／last_seq **跨重连保留**／ ⚠️ **seq 是表级** ⇒ 别的空间的写入会让本空间"看起来跳了" ⇒ **保守多拉一次**（方向安全） ## 判据：②③ 是**一对**（不是单向判据） text 【② 跳号 ⇒ 真的拉了】脚本化假 SSE：1,2,4 ⇒ 回退信号**恰好 1 次**（带 seq=4）；前两帧 gap=None 【③ 不跳号 ⇒ 不许额外拉】连续帧 1,2,3 ⇒ 回退信号 **0 次** ⇒ ⇒ **两条一起**才挡得住"每帧都拉"那种假实现（那会把 L4 变成轮询） ＋ 跨仓 e2e（真服务端、真 SSE）：收到帧 ⇒ GET /pull?since=0 读回该变更**真实 seq** ⇒ 断言 frame["seq"] == real_seq ✓ ＋ wiring 判据 ⑥′：gap 之后**第一次 pullOnce( 必须早于其后第一次 setTimeout(**（与既有 ⑥ 的 ping 同形） ## ⚠️ 而它**自曝的一处失误**（值得记） text 它**误跑了一次 cargo fmt** —— 而客户端仓**本就不 fmt-clean**（sync_stream.rs 自身就有 27 处 rustfmt 差异） ⇒ ⇒ 于是 fmt **重排了 71 个文件**（+10996/−3036） ⇒ ✅ **它全部撤回了**：其余 67 个 git checkout 回 index，并**抽查 3 个与动手前逐字节相同**； 随后把 sync_stream.rs 也还原重放 ⇒ 现在全文件 fmt 差异数 **= 27（与 HEAD 自身相同）** ✓ ⇒ ⇒ ⇒ **而"我该在跑之前就检查它是不是 fmt-clean"是它自己的总结** —— 我认同（这正是"先量再跑"）。 ## 既有行为不变（它跑的读数） text verify-two-device-sync ⇒ **91 通过 / 0 失败** ✅ cargo test --lib sync_stream ⇒ **15 passed / 0 failed**（**原有 13 条全绿** ＋ 新增 2 条）✅ cargo test --lib（全量）⇒ **727 passed / 0 failed / 19 ignored** ✅ cargo check --tests ⇒ exit 0 ｜ tsc --noEmit ⇒ exit 0 ｜ test-report ⇒ **44 条门禁，失败 0** ✅ ✅ **取数行为零改动** —— git diff 里**没有新增任何** sync_workspace／pull／apply_pulled_changes 调用点 （我复验：grep -cE "sync_workspace|pull\(" 新增行 ⇒ **0** ✓） ## ⚠️ 而它**如实说**的那一条（我认为很重要） text ② 的证据链最后一环是**文本级**（wiring 判据）—— 它**没有**"api.syncWorkspace 被调用 1 次"的**运行时计数**。 原因**结构性**：桌面这条路的拉取由**前端**发起（设计稿 §3 形态 B：必须过闸门／防重入／状态行三件）， 而 T0 自己的判据又明令"pull 的调用点**不增**" ⇒ Rust 里直接拉会同时破这两条。 ⇒ ⇒ **所以它没有藏这件事，而是把每一环的来源标出来了**（第 1 环运行时、第 2~4 环文本级）✓ ` ⚠️ 本笔 --no-verify 的理由（K11）：_workspace` 门禁现为 **exit 2**（4 条"本机没铺"）⇒ 放行但警告。 | 25 天前 | |
fix(space): 桌面+Web 关系图/看板/属性分组按当前空间过滤(board_data/get_graph/board_by_attr) | 1 个月前 | |
fix(android): 临时目录全线收口——Android 上没有 /tmp，一个根因长出 8 个症状 真机点「选文件」时报「建临时目录失败（/tmp/shuyonote-picked）：No such file or directory」： std::env::temp_dir() 在 Android 上返回 /tmp，而 Android 根目录下 **没有** /tmp（TMPDIR 也没设）⇒ create_dir_all 立刻失败。桌面永远有 /tmp， 所以这个坑**只在手机上暴露**，而且每个功能只报自己那句错，看着像 N 个互不相干的 bug。 同一个根因下的生产调用点（全部改掉）： - picked_file.rs 把选中的文件复制成可读副本（② 选文件就断在这里） - backup.rs ×2 备份导出暂存 / 备份恢复解压 - plugin_index.rs 插件包（zip）解压 - workspace_io.rs ×2 空间包导出快照 / 导入解压 - storage.rs ×2 临时占用统计、清理临时文件 做法：新增 src-tauri/src/tempdir.rs；启动时（lib.rs 的 setup **第一句**）把临时根 定向到 app_cache_dir()/tmp（Android 上是 /data/user/0/<pkg>/cache/tmp：应用可写、 系统可回收），之后所有临时文件都放它下面。四种形态： - dir(tag) 已建好的唯一目录； - path(tag) 唯一路径但**只建父目录、不建叶子**——package_temp_dir() 明确要求 "解压前目标不存在"，先建好可能让解压工具报已存在； - file(tag, ext) 唯一文件路径（如快照 xxx.db）； - subdir(name) 固定名目录（选文件副本用：目录稳定、文件名唯一）。 用全局 OnceLock 而**不是**给每个函数加参数：这些调用点散在很深的工具函数里， 有的（如 plugin_index::package_temp_dir）连 AppHandle 都拿不到。未初始化时退回 std::env::temp_dir()/shuyonote，桌面行为不变；cargo test 里的 std::env::temp_dir() 保持原样（测试只在桌面跑，/tmp 一直在）。 顺带修掉一个**从来没生效过**的清理：cleanup_temp_files 按前缀 shuyonote-backup- 找，而导出实际建的是 shuyonote-export- ⇒ 那半条清理从来没命中过。现在前缀与创建时 的 tag 对齐；临时根是应用私有目录，扫它不会误删别人的文件（故意不含 picked/： 那里的副本可能还被前端引用着）。 验证：cargo check --all-targets 通过（顺手清掉 picked_file.rs 里因此变成未使用的 use tauri::Manager）；新增 5 个单测全绿（dir / path / file / subdir / 未初始化回退）。 **真机验收仍待手机连上来点一次**「选文件」——本机没有 Android 构建环境。 教训：平台约定的差异（"有没有 /tmp"）会以 N 个互不相干的报错形式出现。 **按症状逐个修等于修 N 次**，要找共同的下游依赖一次修掉。 | 1 个月前 | |
fix(db): 修复保存模板 NOT NULL constraint failed: templates.created_at save_as_template INSERT 改占位符 ?13/?14 放 kind/database_json，但 params! 数组顺序未同步， 导致 created_at(?12) 绑到 null。重排 params 使 ?1-?12 对应 id..updated_at、?13/?14 对应 kind/database_json。 | 1 个月前 | |
feat(search): 查询侧归一化落地（Rust textnorm + web 检索入口）—— 存储侧折了、查询侧不折等于白折 接 Windows 在 reply-6 §四 记下的那一笔（"谁先动 search.rs 谁带上 normalizeForMatch"）。 ## 修的是什么（真事故形状） 抽取层在**落库前**会把「康熙部首 ⼀(U+2F00)」折成「一(U+4E00)」（§15.9）。而查询侧此前 **一处都没接**：normalizeForMatch 只有它自己的单测在调，Rust 侧完全没有这一步 ⇒ 用户从 PDF 里粘一个兼容形来搜，**搜不到**。 ## 三处落点 1. **新增 src-tauri/src/textnorm.rs**：normalize_for_match，与 TS 侧**逐字符同口径** —— 只折四个兼容表意字区间（U+2E80–2EFF / U+2F00–2FDF / U+F900–FAFF / U+2F800–2FA1F）。 ⚠️ 刻意**不是**整串 NFKC（那会把全角标点/全角数字一起折掉，§15.9 有明文反例）。 2. **search.rs**：把入口的"查询准备"抽成 prepare_query()（trim → 属性过滤 → 归一化）， search 命令改调它 —— 下游（分词 / FTS / LIKE / snippet 高亮 / 查询向量）**全部**拿到同一份。 3. **blocks.rs 的 search_blocks** 与 **web.ts 的 search / search_blocks 两个分支**同样归一化 （漏一处就会变成"全库搜得到、块搜搜不到"这种最难查的不一致）。 依赖：icu_normalizer = "2"。它**本来就在 Cargo.lock 里**（2.0.1，由 idna/url 那条链带进来） ⇒ 提成直接依赖后 Cargo.lock **没有新增任何 [[package]] 条目**（只有依赖边 + 一个已存在的 utf8_iter 因 compiled_data 特性被启用），**没有新下载**。没选 unicode-normalization：本仓 lock 里没有。 ## 判据（先证伪再修 + 跨语言共用夹具） - **跨语言一致性**：新增 tests/normalize-parity.json（9 条，**十进制码点数组**，JSON 没有 0x 字面量）， Rust（include_str! + serde_json）与 TS（normalizeForMatch）**读同一份**。 变异验证：把 TS 侧改成整串 normalize("NFKC") ⇒ 当场红，且消息直接点名被错折的字符 （１２３→[49,50,51]、，→44、①fiＡＢ→[49,102,105,65,66]）。 - **Rust 端到端**（真 SQLite、真 LIKE）：正文存折叠后的「第一段」，用兼容形 第⼀段 查 —— **先断言原样查询搜不到**（先证伪，否则这条 e2e 证明不了任何事），再断言走 prepare_query() 能搜到， 且 snippet 里能定位到「第一段」（否则高亮在已折叠的正文里落空）。 - **边界**：全角数字/全角标点/带圈数字/连字/全角拉丁**必须原样保留**；幂等；空串早退。 - 顺带一条实测更正：tests/normalize-parity.json 第一版我凭印象写了「U+2E80 → U+4E36」， 用 Python unicodedata 复算发现 **U+2E80 根本不被 NFKC 折**（同区里会折的只有 U+2E9F、U+2EF3） ⇒ 改成实测值，并**补了一条"同区不折"的用例**把"区块 ≠ 一律折叠"钉住。 读数：cargo test **317 通过 / 0 失败 / 6 忽略**（基线 310，只增不减）；pnpm verify 22 条门禁全绿、 vitest 954/955。 | 1 个月前 | |
feat(desktop): 材质（Mica）开关，默认关 标题栏视觉的最后一环：让窗口顶栏透出桌面壁纸。做成可开关是因为 Mica 与 染色互斥（一个要半透明透壁纸，一个要画实心色），且壁纸较花时观感因人而异， 所以默认关、明确标注 Win11 22H2+ 生效、旧系统静默降级。 - Rust 侧：set_mica_effect 用 DWMWA_SYSTEMBACKDROP_TYPE(38)+DWMWA_MICA_EFFECT 开关材料，配 SetWindowPos(FRAMECHANGED) 强制 DWM 立即重算；全局 MICA_ON 标记，set_titlebar_theme 据此决定是否画实心色——切主题不会把材料状态覆盖掉。 - 前端：windowChrome 加 material 状态；设置 → 外观 → 窗口 两项开关并排 （自定义标题栏 / 材质）。关 Mica 后重刷染色，开 Mica 时 set_titlebar_theme 看到标记自动跳过。 - syncTitlebarColors 从 theme.ts 导出：供 Mica 开关这类改完窗口属性后要重置 染色的场景复用，当前主题值由 theme 持有，外部不必重复读取。 - 启动时恢复 material 设置（默认关）并重刷染色。 | 1 个月前 | |
fix(android): 第三轮编译错误—— JObject 的 Deref 陷阱，并在本机把它试编掉了 (*activity).clone() 也编不过（run #12），报 found *mut _jobject。查 jni 0.21.1 源码才明白： 它的 JObject **没有实现 Clone**，但 **Deref 到裸指针**（objects/jobject.rs L54-55）， 所以 .clone() 一路静默落到 *mut jobject 的 Clone 上： - activity.clone()（run #11）→ 命中的是 &T: Clone，返回 &JObject<'_>； - (*activity).clone()（run #12）→ 命中的是 Deref 之后的指针，返回 *mut _jobject。 正解是**这一段只经手裸指针**（*mut c_void），根本不搬运 JObject 的所有权： obj.as_raw().cast() / activity.as_raw().cast()，三个分支都产出 *mut c_void。 ## 更该记的是方法：这段桥**本来就能在本机试编** 我是烧了三轮 CI（E0308 ×2、E0061 ×1，约 45 分钟）才想到这一点的。两套 jni 都是**纯 Rust、 不依赖 NDK**，所以开个临时 crate 把两个版本同时拉进来就能在本机做类型检查： jni21 = { package = "jni", version = "=0.21.1" } # wry 那一套 jni22 = { package = "jni", version = "=0.22.4" } # verifier 那一套 把代码抄成两个函数、init_with_env 换成同签名的空函数，cargo check 就能查出**上面两个坑 和 run #11 的 E0061**。实测通过后写进 docs/MOBILE.md §2.5。 教训一句话：**凡是"只有 CI 能编"的代码，先问一句"真的只有 CI 能编吗"。** | 1 个月前 | |
feat(ui): 题头图支持上下拖动定位（背景位置） - pages 加 cover_pos(0-100%)，page 返回 + set_page_cover_pos 命令（Rust/web/契约）。 - 封面区上下拖动调整 background-position（居中 y%），实时预览 + 松手持久化； 高度拖拽 handle 保留，两者分开（移动阈值区分）。 - sqliteStore pages 加 cover_pos 列 + 迁移。 | 1 个月前 | |
test(updates): 补一条**线上清单**验收（默认不跑）：darwin 必须指向 .app.tar.gz 且两键成对 为什么单独有这条：「darwin 清单指向 dmg」这个 bug **在任何单测里都不会现形** —— 它只有把清单**发出去之后**才成立，用户端表现为「能看到新版、下载也成功、但装不上」。 发布期门禁（scripts/release-manifest.test.mjs）管的是「即将发出去的那份」； 这条管的是**线上正在服务的那份**。 - 跑法：cargo test --lib live_manifest -- --ignored --nocapture - 线上一旦没有 darwin 键（macOS 通道未启用）就打印一行并放过，不算失败 —— 否则通道启用前它一直红着，会被当成「常态红」而失效（这是本仓反复吃过的一类亏）。 - 支持 SHUYONOTE_LIVE_MANIFEST 覆盖地址，便于对着本地假清单做变异验证。 **变异验证**（本地假清单，两份都跑过）： · darwin 指向 …_universal.dmg ⇒ **红**，报「darwin-aarch64 的 URL 不是 .app.tar.gz：…dmg」； · darwin 指向 ShuyoNote.app.tar.gz ⇒ **绿**（两个键都打印出来）。 另断言两个 darwin 键**成对出现**（universal 一物两键，只写一个 = 另一架构静默收不到更新）。 判据：cargo test 全量 298 通过 / 5 忽略（含本条）、集成 12 条不变。 | 1 个月前 | |
feat(crdt): 恢复版本也盖 rev（两侧）—— 把"有身份 ⇒ 一定有 rev"补齐到 restore 这条路 restore_version 是**本地编辑**，此前没有盖章：恢复回来的块带着**旧 rev**（或干脆没有） ⇒ 下一次合并判错胜负，极端情况下这次恢复会被远端**静默盖掉**（与"恢复要置 dirty=1"那条同族）。 - 桌面 versions::restore_version_in_conn：json: doc_content::stamp_block_revs(c, page_id, 恢复出来的那一版) （baseline = 当前页内容 cur，与保存路径同一个入口） - Web platform/web.ts::restore_version：assignBlockRevs(cur.json, String(r.content_json ?? "")) - 判据：Rust versions::tests::restore_version_stamps_block_revs（真建库；b1 内容变了 ⇒ maxSeen(3)+1=4、 b2 没变 ⇒ 保持 0）↔ verify-two-device-sync **场景 J**（真 restore_version 命令，读数 4,0） ★ 顺带**逐处决定**了其余写入口（都写进文档 §4，免得下次有人以为漏了）： - create_page / 模板中心：**不盖**（新建没有 baseline；第一次保存会盖，合并语义照样成立） - 插件写页：**已覆盖**（pages.create/blocks.append 是 mediate: "draft"，落库走前端保存路径； plugins.rs 里那几处直接 INSERT 都在 #[cfg(test)] 夹具里） - 分栏子编辑器：**已覆盖**（只回写父编辑器，不碰库） - PDF 批注 / emailRichNote / AI 应用块：**已覆盖**（生成 JSON → save_page） 读数（Windows 本机）：two-device-sync **36/36**（exit 0）、Rust versions:: **3/3**、 doc_content 25/25、pnpm verify **23/23**、tsc 干净、check-doc-content-access 565/565 不变多。 | 1 个月前 | |
feat(wiki): 桌面端也能导出静态 wiki —— Rust 侧补 export_wiki + wiki_export_pages owner：「我要能用的 LLM Wiki」。此前那条「导出当前空间为 wiki」的命令只在 web 平台出现 （builtinCommands 原注释逐字：「桌面端要这个功能的话，是在 Rust 侧补一条 export_wiki」）⇒ 这一笔补它。 设计：渲染仍只有 TS 一份（src/lib/wikiExport.ts 的 buildWikiExport）—— Rust 再写一份会漂移。 拆两步：Rust 的 wiki_export_pages 查库 → TS 渲染 → Rust 的 export_wiki 打包写盘。 新的 src-tauri/src/wiki_export.rs： · wiki_export_pages：查活动空间页面（与 web 同口径：排除 deleted_at、按 parent_id/sort_order/title 排） · export_wiki(destPath, files)：打包 zip；相对路径落下载目录；已存在则加序号（不静默覆盖用户旧导出） · safe_entry_name 再挡一层 zip slip（前端已 sanitize，但边界检查不该只有一处） 收口门禁（check-doc-content-access「直接访问只减不增」）：owner 2026-10-05 拍板。 ✅ 但先把前端那几处假的清掉：api.ts / commands.ts 改用共用的 WikiPageInput 类型； builtinCommands 去掉逐字段映射；web.ts 把 wiki_export_pages 与 export_wiki 合并成共用一次查询 ⇒ 前端面零新增。真新增只有 Rust 新文件的 4 处，已按拍板记入 scripts/doc-content-access-baseline.json。 另改两处过期判据（都是「判据跟着事实走」，不是让代码迁就旧判据）： · builtinCommands.test.ts 那条「桌面平台：wiki 导出不出现」——它自己的名字写明前提是 「Rust 侧没有这条命令」，而该前提已失效 ⇒ 改成「桌面也在」，意图仍由 check-web-commands 守； · docs/TESTING.md 的「机器事实」块（与代码/基线不符，check-doc-facts 会点出来）。 读数：tsc exit 0；cargo check exit 0；check:web-commands / check:doc-content-access / check-doc-facts 全 0； pnpm verify 59 条全过。 | 20 天前 | |
feat(mobile): 安卓平台适配——桌面专属 API 条件编译 + Android 专属 OpenSSL/SQLCipher 依赖 来源：安卓移植会话的未提交成果（该会话已结束）。经核实这份改动**此前只存在于 工作区、从未提交**（origin/main 与 dev 上 cfg(desktop)/android/vendored 均零命中）， 故先落成提交与分支以保底，避免丢失。 改动内容： - src-tauri/Cargo.toml：新增 [target.'cfg(target_os = "android")'.dependencies] - openssl = { version = "0.10", features = ["vendored"] } （native-tls 在 Android 上映射到 OpenSSL，交叉编译需 Android 版 OpenSSL；vendored 从源码构建， 不改 native-tls 调用代码，桌面 Windows 仍走 Schannel，不受影响） - rusqlite = { version = "0.40", features = ["bundled-sqlcipher-vendored-openssl"] } （SQLCipher 在 Android 同样依赖 OpenSSL，复用上面这份，经 openssl-sys 的 DEP_OPENSSL_INCLUDE 取头文件并静态链接 libcrypto） - src-tauri/src/lib.rs： - single-instance / updater 插件用 #[cfg(desktop)] 条件注册 （移动端引用其 init 会编译报 cannot find function init；移动系统本身保证单实例、 更新走应用商店） - src-tauri/src/windows.rs： - decorations(false) 用 #[cfg(desktop)] 条件编译 （decorations 是桌面概念，移动端 builder 无此方法） - .gitignore：忽略 src-tauri/gen（tauri android init/build 生成的移动端工程，约 1.9 GB， 可重建）与 release/（本地产出的安装包/发布物） 说明：以上对桌面/Web 构建应为无行为变更（新增分支均为平台条件编译）。 | 1 个月前 | |
fix(space): 手机 web 导出的空间包到桌面后图片打不开 —— 导出按正文引用兜附件 ＋ 导入把 asst: 落成真实路径 ## 现场（owner 2026-10-23 实拍） 手机 web 导出空间包 → 桌面导入 ⇒ 页里的图是一张碎图（alt 显示 1792730027804.jpg）。 ## 两个洞，缺一不可 ``text ① 导出缺字节：web 的 export_workspace 只按 attachments.page_id IN (本空间页) 挑附件， 而**快速记录存的附件行 page_id 是 null**（存的那一刻还没有页）⇒ 那几个字节根本没进 zip ② 引用不可解：web 正文里存的是稳定引用 asst:<hash>（2026-10-23 那笔：blob: 地址刷新即死）， 而桌面编辑器把 src 直接当路径喂 convertFileSrc ⇒ 坏 URL ⇒ 碎图 ## 改法 text web 导出（src/lib/platform/web.ts） · 在按 page_id 那批之外，**扫本空间未删除页正文里的 asst:<hash>** 并补进 refHashes · 扫不出来不影响主流程（按 page_id 那批照旧） 桌面导入（src-tauri/src/workspace_io.rs） · 新增 rewrite_asset_refs_in_space_db(target_db, app_data_dir, new_id) · 在**附件落盘之后**跑（否则 find_attachment 找不到字节）；密文库自己按 space_db_is_encrypted 去袋子里取钥匙再改 · 只改 asst: 前缀的**字符串值**，找不到字节的引用**原样保留**（不删、不猜）—— 阅读屏会画占位框而不是碎图 ## 判据 text Rust workspace_io::tests::asst_refs_are_rewritten_to_local_paths_but_unknown_ones_kept ✓ 已知 hash ⇒ 换成真实路径 ／ 未知 hash ⇒ 原样保留 ／ 非 asst: 的路径不动 TS assetRef.wiring 第 ④ 条 ✓（导出必须扫 asst: ／ 导入必须调用改写 ／ 必须认得 rewrite_asst_refs） 门禁 tsc ✓ ｜ cargo check ✓ ｜ 全量 66 条：65 绿（唯一红仍是 vitest 的已知 4 个收集失败） ` ## ⚠️ 已经坏掉的那份数据 这次修的是**打包与导入**两条路：手机上的字节一直在（IndexedDB），所以**重新导出一次、再导入一次** 就能把那份空间补好。但**桌面上已经导入的那个空间修不回来** —— 它的 zip 里本来就没有那些字节。 ## 仍未做 - 快速记录存的附件行 page_id 仍是 null（"存完之后补上归属"那条线还没接）—— 这次靠"扫正文引用"绕过了它，但导出 markdown 按页收附件时仍会缺。 - 宽屏（桌面形态）编辑器里，web 正文的 asst:` 引用要等 ImageNode 接 resolveRef。 | 2 天前 | |
fix(space): Web 导出的空间包在桌面版「导入正常、打开时出错」—— 两侧 schema 的列名/列数漂移 ## 现象（owner 2026-10-22 报障，截图逐字） ✕ 切到「新建工作区」失败：内核拒绝了这次切换，请稍后再试。 Web 版导出空间包 ⇒ 桌面版**导入成功**（toast 说成功）⇒ **打开那个空间必失败**。 包就在 Downloads/space-新建工作区-2026-10-22-02-25-04.zip（1.6 MB，4 个条目）。 ## 真因（不是"拒绝"，是打开这个库的 SQL 报错） 前端把任何拒绝统一显示成上面那句，**真错只在 devtools 控制台** ⇒ 单看截图判不出来。 加了一条手动探针（workspaces::tests::probe_switch_active_space，拿真实 appdata 副本跑 switch_active_space）后，一句真错就出来了： ② 切到 1aa97287-… ⇒ 失败：no such column: seq **Web 与桌面是两套 schema，而 migrate() 用的是 CREATE TABLE IF NOT EXISTS** （表已存在就跳过 ⇒ **列名不会被纠正**）。两处漂移，逐个撞出来： | 表 | Web 版（sqliteStore.ts） | 桌面版（db.rs） | 后果 | |---|---|---|---| | changes | 主键列叫 **id** | 主键列叫 **seq**（语义完全相同：INTEGER PRIMARY KEY AUTOINCREMENT） | CREATE INDEX … ON changes(seq) 报 no such column: seq，**而它原先和建表写在同一个 execute_batch 里 ⇒ 整批中止** ⇒ 空间永远打不开 | | workspaces | 只有 id/name/theme/icon | 还有 **NOT NULL 的 created_at + updated_at** | migrate 末尾 UPDATE workspaces SET name=?, updated_at=? 报 no such column: updated_at | ## 改了什么 **桌面侧（兼容已经导出的旧包）**： · changes.id → seq 的**幂等改名**（先改名、**后**建索引 —— 反过来就是这次报错的原样）； · idx_changes_seq 从建表那个 batch 里**移出来**（它原先会让整批中止，连带后面所有建表都不执行）； · workspaces 缺 created_at/updated_at 就补（DEFAULT 0 ＝"时间未知"，比编一个假时间诚实）。 **Web 侧（不再产出第二种形状）**： · DDL 的 changes.id → seq（与桌面同名同义）； · web.ts 里 10 条语句改读 seq（读取处用 seq AS id 别名，**TS 侧的字段名与载荷映射一个没动**）； · 老浏览器库由 sqliteStore.ts::migrate() 里那条改名迁移补齐（**不用 try/catch 吞错** —— 改名失败不是"已经有了"，是真问题）。 ## 判据（都真跑过） ``text · 新增 db::tests::migrate_accepts_a_web_shaped_space_db（夹具按 Web 的 DDL 逐字造）： changes.seq 在 ✓ ｜ 游标值没被改名改掉（1 仍是 1）✓ ｜ idx_changes_seq 建出来了 ✓ workspaces 两个时间列补上 ✓ ｜ 第二次 migrate 幂等、数据不动 ✓ 变异：删掉改名那句 ⇒ ① 红；删掉补列那两段 ⇒ ② 红 · 端到端（**用 zip 里那个原始库**，不是修过的副本）： before：② 切到 1aa97287-… ⇒ 失败：no such column: seq after ：② 切到 1aa97287-… ⇒ 成功 · powershell -File scripts\win-cargo-test.ps1 -Filter "db::tests::migrate" ⇒ 3 passed / 0 failed · pnpm exec vitest run src/lib/platform ⇒ 21 文件 / 121 例全绿；tsc --noEmit ✅ · ⚠️ **没验的**：Web 浏览器里"老库改名 + 重新导出"这条（本机没有浏览器端活库）； rust 全量仍以 CI 为准（本机只跑 lib 目标） ` ## 顺带（同一处报障暴露的） · 前端那句「内核拒绝了这次切换」把**两种完全不同的失败**压成一句：口令拒绝 / SQL 打不开。 本次先把"打不开"这一类修掉；**要不要把真错也露一句给用户**是产品决定，没擅自改。 · scripts/win-cargo-test.ps1 -ExtraArgs '--ignored','--nocapture' 经 powershell -File 会传成**一个字面量**（日志逐字：probe … '--ignored','--nocapture'）⇒ 探针被当过滤器、1 ignored、 一条没跑。本笔先用 -PrintExePath` 绕开；脚本本身没改（改动面越小越好，留作单独一笔）。 —— windows 侧 agent（2026-10-22） | 3 天前 |
| 文件 | 最后提交记录 | 最后更新时间 |
|---|---|---|
| 15 天前 | ||
| 18 天前 | ||
| 18 天前 | ||
| 1 个月前 | ||
| 12 天前 | ||
| 15 天前 | ||
| 1 个月前 | ||
| 5 天前 | ||
| 16 天前 | ||
| 1 个月前 | ||
| 2 天前 | ||
| 1 个月前 | ||
| 7 天前 | ||
| 3 天前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 29 天前 | ||
| 14 天前 | ||
| 1 个月前 | ||
| 3 天前 | ||
| 1 个月前 | ||
| 22 天前 | ||
| 6 天前 | ||
| 13 天前 | ||
| 11 天前 | ||
| 1 个月前 | ||
| 2 天前 | ||
| 3 天前 | ||
| 11 天前 | ||
| 22 天前 | ||
| 29 天前 | ||
| 1 个月前 | ||
| 17 天前 | ||
| 22 天前 | ||
| 14 天前 | ||
| 6 天前 | ||
| 26 天前 | ||
| 6 天前 | ||
| 1 个月前 | ||
| 2 天前 | ||
| 6 天前 | ||
| 25 天前 | ||
| 1 个月前 | ||
| 15 天前 | ||
| 7 天前 | ||
| 7 天前 | ||
| 5 天前 | ||
| 7 天前 | ||
| 12 天前 | ||
| 29 天前 | ||
| 7 天前 | ||
| 13 天前 | ||
| 15 天前 | ||
| 29 天前 | ||
| 15 天前 | ||
| 29 天前 | ||
| 12 天前 | ||
| 7 天前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 9 天前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 6 天前 | ||
| 18 天前 | ||
| 10 天前 | ||
| 3 天前 | ||
| 1 个月前 | ||
| 7 天前 | ||
| 6 天前 | ||
| 1 个月前 | ||
| 14 天前 | ||
| 2 天前 | ||
| 14 天前 | ||
| 2 天前 | ||
| 25 天前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 1 个月前 | ||
| 20 天前 | ||
| 1 个月前 | ||
| 2 天前 | ||
| 3 天前 |