docs(audit): fortieth batch — java plugin layer into CI, demo-up single origin, #62 screened out

#63 fixed in f5a76cf (demo-up delegates to bootstrap; T1/T2/T3 real-machine);
plugins/test.sh + the new CI plugins job verified on the VM and in CI
(c59b387, run 35888009965, 4/4 jobs); #62 re-checked against all three
install paths and screened out as unreachable/nonexistent; plugin-layer
real-machine E2E via the MC status/login probes recorded.

AUDIT-2026-09-22.md

@@ -118,6 +118,8 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 
 统计：① 26 ｜ ② 25 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 61。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
 
+第四十批追加：#63（demo-up 单起点化——旧镜像臂能产出"起了但无处路由"的演示机；dev/demo 路径）②；#62 经立案复核**不成立**（全部安装路径都构建 felis-velocity.jar，证据见该批节），已剔除、不计入。
+
 ## 已验证事实（正向清单）
 
 - 安装→hook 发码→Owner 绑定→passkey（虚拟认证器）→面板管理员全链路 ✅
@@ -639,6 +641,40 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 
 **四、留档**：node2 agent 上线日志（`k3s agent is up and running`、VXLAN subnet event 来自 10.211.55.6）；两向 job 的 pod/调度事件原文（见上）；`/root/node2-storage-copy/`（3.1G，随 VM 删除）。
 
+### 本轮新增真机证据（第四十批：Java 插件层收口 —— #63 demo-up 单起点、CI Java 门禁、插件面真机 E2E）
+
+**零、现场**：本批不改 Go/面板（控制面维持 `auditfix61`）；产出 = `deploy/demo-up.sh` 重写（`f5a76cf`）＋ `plugins/test.sh` 与 CI `plugins` 作业（`c59b387`）。三组真机验证（T1/T2/T3）在 VM 上针对该两文件跑完；CI 首跑即绿。
+
+**一、#62 复核：不成立（立案后剔除，未计为缺陷）**
+- 主张："fresh 非 demo 安装跳过 Velocity 插件构建 → proxy 静默不路由"。复核三条路径，**每条都构建 felis-velocity.jar**：
+  1. 源码臂：`felis-install.log`（首装）L1530 `building felis-velocity.jar`、L1553 `staged`；`bootstrap-auditfix{42,42b,42c,43,43b,44}.log` 每次重跑同两行。
+  2. 嵌入 tar 臂（fresh release/TUI 路径；本 VM 从未走过）：`felis bootstrap-assets game-stack | tar -x` → 37 文件（含 `plugins/velocity`、`plugins/shared`，构建输入齐全）→ `docker run --rm -v /tmp/gs62:/src:z -w /src/plugins/velocity gradle:8.14-jdk21 gradle --no-daemon clean build` → **BUILD SUCCESSFUL in 35s**，产出唯一 `felis-velocity-0.1.0.jar`（71117B，与现装同尺寸）。
+  3. 调用图：`build_velocity_plugin` 唯一调用点在 `build_game_stack` 末尾；`build_game_stack` 在 full 模式主链路（L2868）必经，nano 早返回，不存在可绕开的"demo 分支"。
+- 结论：代码阅读误判，剔除。真正会跳过插件构建的是 demo-up.sh 的旧镜像臂 → 即 #63（本批修复）。
+
+**二、#63（`f5a76cf`）：demo-up.sh 双起源 → 单起点（129 → 63 行）**
+- 红证据（读取 + 真机口径核对）：① 版本分叉——demo-up 硬编码 `PAPER_MC_VERSION:=1.21.8`，bootstrap `resolve_game_jars` 从 Limbo CI 产物名推导（T3 实测当日 Limbo 2026.0.3-ALPHA / MC 26.3；同一登录两跳必须同协议）；② 其镜像臂从不构建 felis-velocity.jar，导入的是本地 tag（`felis-limbo:demo` 等），与 bootstrap 写入的 registry refs 不一致 → 死件、旧基座上可致"起了但无处路由"；③ 起 docker 后从不停（违反 13d64e0 起"构建方以 docker 停收尾"的约定）；wiring 段在现代基座上只是 no-op。
+- 修复后 = bootstrap（未 SKIP 时）＋ 三项硬校验（`felis.host.toml`、`[velocity]` 段、`felis-velocity.jar`）＋ `felis setup` 交棒；镜像逻辑全删。
+- 真机验证：**T1** 健康基座（`SKIP_BOOTSTRAP=1 SKIP_SETUP=1`）→ 通过、exit 0；**T2** 移走 jar → `ERROR: /opt/felis/velocity/plugins/felis-velocity.jar missing — … silently routes nothing …`、exit 1（随即还原 71117B root:root 0644）；**T3** 默认臂全量重跑（`FELIS_SKIP_FETCH=1 FELIS_INSTALL_MODE=full FELIS_IMAGE=…:auditfix61 FELIS_WORLDS_HOST_PATH=… SKIP_SETUP=1`，日志 `/root/demo-up-b40.log`）：L733 插件构建、L752 `staged`、L941 交棒行、`[fail]`=0；收尾态 `felis-velocity active / k3s active / docker inactive`。
+- 附带实录（同一日志窗）：重跑期间 felis-api 滚动，velocity 00:22:25/00:22:40 两次 `refresh failed … keeping current registrations.`（失败保旧——规格 §11 承诺的真机上演）→ 00:22:55 恢复注册 → 00:22:58 服务随 `install_velocity` 重启并重载插件（新 pid）→ 00:22:59 `routing ready` → 00:23:29 收敛到 pod IP。
+
+**三、Java 层 CI 门禁（`c59b387`）：三个手工测试 + 三个装机 jar 首进 CI**
+- 缺口：`plugins/*/test` 三个 main 测试从未被任何 build/CI 运行；velocity/paper/limbo 三个"装机即用"jar 只在 bootstrap/Dockerfile 编译（Go CI 从不碰 Java）。
+- 产出：`plugins/test.sh`（Maven Central 取 adventure 三 jar，pinned+sha256；三测试 javac+java；三生产编译，limbo 按 bootstrap 同源解析当日版本）+ `ci.yml` 新增 `plugins` 作业（temurin 21 + Gradle 8.14）。
+- 首跑两次真跑抓出两处"从未被跑过"的假设错误：① `InviteCardTest` 一行式缺 examination-api（adventure-api 4.26.1 的 `Component` 签名引用 `Examinable`，javac 编译期即需）；② limbo 的 `com.loohp:Limbo:+` **永远不可解析**（LOOHP 仓无 maven-metadata，404 实查）→ 裸 `gradle -p plugins/limbo build`（plugins/README 原文）从来不可行；二者均已修（脚本 + 该测试 javadoc + README）。
+- 验证：VM 容器三测试 `OK (32/36/48 checks)`；velocity 21s / paper 29s / limbo 13s（2026.0.3-ALPHA）全 `BUILD SUCCESSFUL`。GitHub Actions run `35888009965`（c59b387）= go/shell/panel/plugins **4/4 success**（`plugins` 作业首跑即绿）。
+
+**四、插件层真机 E2E（不依赖真实客户端的面）**
+- 自建纯 socket 探针 `/tmp/mcprobe.py`（status = 服务器列表 ping；login = 登录首包），重装前与重装后各跑一遍，结果一致：
+  - 子域 MOTD（§11 只读缓存 + 相位）：`test-one` → `« test-one » 休眠中，加入即唤醒 / sleeping — join to wake`；`lobby`/`login` → `« … » 在线 / online`；`resolvecheck` → 休眠中；`nosuchxyz.<root>` → 回落 `A Felis server`（非 felis 子域不被劫持）。
+  - 登录边界：`LoginStart`（含现代协议 UUID 字段）→ 服务端首包 `0x01 EncryptionRequest` ⇒ 边缘 online-mode 强制成立。
+  - 加载面：`Loaded plugin felis-link 0.2.0`（共 5 插件）。
+- 口径：真实账号进服（limbo 门 → 菜单 → 转服）仍按"进服跳过"决定不演练；以上为不依赖客户端的最大真机面。（首次探测因探针漏发 UUID 字段被静默关闭——探针缺陷，非服务端问题；补齐后一次通过。）
+
+**五、观察（不计缺陷）**
+- ViaVersion 自报有 5.12.0（当前 5.11.0）：bootstrap 的 pin 是 FL-007 实测版本，属刻意，不随提示升级。
+- limbo 插件编译期一条 deprecated API 提示（`FelisLimboPlugin` 用/覆写已弃用 API）：门禁下可见、不阻塞，留观察。
+
 ## 结论：离"生产可用"还差什么（按优先级）
 
 1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
@@ -659,14 +695,16 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 16. ~~缺陷 #56–#59（玩家管理回包 / 控制台回显 / 文件页 fail-fast / LP 诚实化）~~ ✅ **已修并归档**（第三十八批回填真机证据：修复前触发 + 修复后复验，四项全绿）。
 17. ~~服务器详情与运维面收尾~~ ✅ **已演练**（第三十八批：ServerFiles 写流程、备份/恢复全链、白名单/封禁闭环、ServerCard 停止、`/admin/updates` 复跑、metrics、CLI 核销——0 缺陷）。
 18. ~~reaper 多节点实机~~ ✅ **已演练**（第三十九批：VM 克隆双节点 k3s——pin 命中持盘节点并跑通、错位 pin fail-closed Pending、装置全回收；`felis-backups` PVC 的 volume node affinity 构成第二层保险）。
+19. ~~Java 插件层自动化缺口~~ ✅ **已补**（第四十批：`plugins/test.sh` + CI `plugins` 作业——三个手工测试与三个装机 jar 全进门禁，CI 4/4 绿；首跑抓出两处"没跑过"的错误：InviteCardTest 编译类路径缺 examination-api、limbo `+` 版本不可解析。同批关闭 demo-up 单起点化 #63、并复核剔除 #62）。
 
-## 剩余待演练队列（截至第三十八批）
+## 剩余待演练队列（截至第四十批）
 
 - ~~reaper 多节点实机~~ ✅ 已完结（第三十九批：临时克隆第二节点组双节点 k3s 实机——pin 命中持盘节点并跑通、错位 pin fail-closed Pending；装置已回收）。
 - ~~面板交互级收尾~~ ✅ 已完结（第三十六–三十八批：管理面写操作、submissions/会话、服务器详情页全链，0 缺陷）。
-- **`demo-up.sh`**（可选）：dev/demo 路径，第三十二批口径未改。
+- ~~`demo-up.sh`~~ ✅ 已完结（第四十批：单起点化 #63——bootstrap 装机 + 三项硬校验 + `felis setup` 交棒；T1/T2/T3 真机全绿）。
+- ~~Java 插件层自动化~~ ✅ 已补（第四十批：`plugins/test.sh` + CI `plugins` 作业；三个手工测试与三个装机 jar 首进 CI）。
 
-（真实游戏客户端进服已按决定跳过，用内部 mint/approve hook 链替代。）
+**队列现已清空。**（真实游戏客户端进服已按决定跳过，用内部 mint/approve hook 链替代；不依赖客户端的最大真机面见第四十批节。）
 
 ## 系统性观察
 
@@ -693,3 +731,4 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 - VM 内部面：`k3s kubectl -n felis port-forward svc/felis-api-internal 18081:8081`（Pod 重建后转发会悬死，需重启）；reaper CronJob（minecraft ns）已应用且已收敛（`suspend=false`）
 - 第三十八批收尾复查：docker `inactive`；控制面三处 = `auditfix61`；`/opt/felis/src` = `b4ef42d` tarball 展开（无 `.git`）；reaper `suspend=false` + `nodeSelector=localhost.localdomain`；test-one `Stopped`；`resolvecheck` 文件接口 409 `no_world_volume`（0.03s）
 - 第三十九批 drill（已回收）：临时 VM `felis-node2`（`prlctl clone --linked` 克隆 node1；node2 停用 felis-velocity/k3s-server/docker 后以 agent 加入）——流程与两向对照见该批节；node1 为克隆经历过一次正常重启（组件全回归、docker 停回 `inactive`）；收尾 job/节点对象/VM 全部删除，集群回到单节点
+- 第四十批工具与留档：VM `/tmp/mcprobe.py`（纯 socket MC 探针：`python3 /tmp/mcprobe.py status <sub>.<root>`；`login <sub>.<root> <name>` 打登录首包）；插件门禁跑法 = `docker run --rm -v /opt/felis/src:/src:z -w /src gradle:8.14-jdk21 bash plugins/test.sh`（或宿主 `bash plugins/test.sh`，需 JDK 21 + Gradle 8.14；日志 `/root/plugins-test-b40.log`）；T3（demo-up 默认臂全量重跑）日志 `/root/demo-up-b40.log`；`/opt/felis/src` = `c59b387` 快照（上一版 `src.bak40`；此后全量重跑用 `sudo bash /opt/felis/src/deploy/demo-up.sh` 即可，SKIP 开关见脚本头）；CI run `35888009965`（含新 `plugins` 作业首跑绿）