docs(audit): thirty-seventh batch — admin interaction sweep clean, #61 LuckPerms write promise scoped

AUDIT-2026-09-22.md

@@ -45,7 +45,7 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 | 14 | controller-runtime 日志噪音 | ✅ 修复：SetLogger 接 slog（`a415246`） |
 | 15 | reaper 启用未演练 | ✅ 已演练（见"第二日"节；CronJob 仍 `suspend=true` 防误删） |
 
-## 可达性分级（#1–#60）——这些缺陷真实使用中到底谁能踩到
+## 可达性分级（#1–#61）——这些缺陷真实使用中到底谁能踩到
 
 回应质疑"是不是全在测边界条件 / 只有内部 hook 才能触发"：
 
@@ -114,8 +114,9 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 | 58 | 对从未启动过的服务器点"文件"页（90s 卡死 → 误导性 504） | ① |
 | 59 | 装了 LuckPerms 的服打开 LP 页：读不到被报成"未分配任何权限"（假事实），且历史伪造 `[RCON]` 输出 | ① |
 | 60 | 新建服务器输入非法名/子域名（前端预检比后端弱）→ 对话框直出 Go 英文错误；账户验证撞已占邮箱同理 | ① |
+| 61 | 给"还没进过服"的玩家预授权限：面板提示"仍然会实际生效"（过度承诺），实际 LuckPerms 静默丢弃（未进服的名字无法解析） | ① |
 
-统计：① 25 ｜ ② 25 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 60。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
+统计：① 26 ｜ ② 25 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 61。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
 
 ## 已验证事实（正向清单）
 
@@ -562,6 +563,39 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 
 **四、留档（Mac）**：脚本 `/tmp/cdp-run5.js`（镜像删除复测）、`run6.js`（重复用户复测）、`run7/run8.js`（bad_name/bad_subdomain 前后对照）、`run9b.js`（email_taken，内置 ssh 取码）；截图 `run5-1`/`run6-1`/`run7-1/2`/`run8-1/2`/`run9-1`。VM `/opt/felis/src` = `c9af548` 快照。
 
+### 本轮新增真机证据（第三十七批：管理面交互收尾 0 缺陷 + 缺陷 #61 —— LuckPerms 写操作的过度承诺）
+
+**零、现场**：`auditfix61`（api/operator/reaper 三处 + 宿主 CLI）。面板门禁 typecheck/vitest 117/build 全绿后部署。
+
+**一、管理面交互收尾（3 项全真机，0 缺陷）**
+1. **submissions approve/reject**：player 会话（邮箱 OTP 铸造，no-mailer 日志取码）现场造两条 pending（`sub-489eda47fe4bc12d` / `sub-b1dcc4b4a2cc5f16`，各上传 tar.gz context）→ 面板「通过」→ 状态变「审核通过」且**自动构建 `bld-1790176562566802097` 到 succeeded**（点击到构建完成全链闭环）；「驳回」→ 对话框必填原因 → 状态变「已拒绝」。全程 UI 零报错。
+2. **用户会话撤销**：player.test 铸 2 条新会话（共 4 条）→ UI「单独撤销」首条 → **精确生效**（cookie5 → 401、cookie4 → 200、列表 4→3）；「全部撤销」→ 提示「所有会话已撤销。」、列表清空、cookie4 也 401。
+3. **ServerCard 启动交互**：面板点 test-one「启动」→ `Starting` → `Running/ready`。
+
+**二、缺陷 #61（提交 `b4ef42d`）：LuckPerms 页对写操作"过度承诺"**
+- 发现路径：LP 页写操作交互测试（给 `E2E_Tester` 写权限）→ 历史卡显示绿色 success +「（服务器未返回输出）」→ **落盘取证发现根本没写入**。
+- 真机实验矩阵（test-one，LP 5.5.85 / H2 存储）：
+  | 操作 | RCON 回包 | 落盘（`lp export` 实测） |
+  |---|---|---|
+  | 面板 UI：`E2E_Tester permission set e2e.ui.write.test` | 空 | ❌ |
+  | 面板控制台：`E2E_Tester … set probe.test true` | 空 | ❌ |
+  | 面板控制台：`<UUID> … set probe2.test true` | 空 | ✅ |
+  | **独立 Python RCON 客户端**（绕开 felis）：`E2E_Tester … set probe3.test` | 空 | ❌ |
+  | 独立客户端：`<UUID> … set probe4.test` | "Another command…"（异步提示） | ✅ |
+  - 结论：**felis 只如实转发空回包；名字写入的静默失败是 LuckPerms 自身行为**（独立客户端 1:1 复现）。
+- 根因（LP config.yml 官方注释背书）：`use-server-uuid-cache: false`（LP 默认）→ "commands using a player's username will not work **unless the player has joined since LuckPerms was first installed**"——**未进过服的玩家名永远无法解析**（与有无外网无关）。
+- 面板问题：旧文案承诺"授予与撤销操作仍然会实际生效"（#59 遗留半句）→ 对"给还没来过的玩家预授权"场景是不成立的承诺。
+- 修复（纯文案，双语）：`luckperms_no_reply` → "……按玩家名的操作只对「自 LuckPerms 安装以来进过本服」的玩家可靠，对没进过服的玩家名可能静默不生效"；`luckperms_no_output` → "（服务器未返回输出，无法确认结果）"。真机复验（`run16b`）：读提示与写占位均按新文案显示。
+- 可达性：#61 ①——给未进服的玩家预授权是日常动作，此前面板显示绿色成功构成误导。
+- 局限（记观察）：读提示块只在"读取为空"时渲染；已有部分玩家数据的服上不会露出这段说明（后续增强候选：常驻说明或写前对未解析名字的提示）。
+
+**三、观察（不计缺陷）**
+- LP 命令是**串行异步**执行：快速连发第二条会得到 `§7[§b§lL§3§lP§7]§r §7Another command is being executed, waiting for it to finish...`（带颜色代码原文，面板如实显示）；`lp export` 回包时有时无（响应与执行解耦）。felis 层无责。
+- submissions 徽章（`submissions.json`："审核通过/已拒绝"）与过滤标签（`admin.json`："已通过/已驳回"）两套词，语义均可，记观察。
+- 控制台对空回包命令只显示 echo、无占位提示（终端风格）；LP 页有占位文案。记观察。
+
+**四、留档（Mac）**：`/tmp/cdp-run10.js`（approve/reject）、`run11a/11b.js`（会话撤销）、`run12a.js`（启动交互）、`run13/14/15/15b/16/16b.js`（LP 全链）。VM 独立探针：`/tmp/rcon_probe.py`、`/tmp/rcon_one.py`（+ `/tmp/rcon_pw.txt`）；LP 导出样本在 `/data/plugins/LuckPerms/luckperms-2026-09-23-15-*.json.gz`。测试数据：两条 pending 提交（一 approved 一 rejected，构建 succeeded/failed 各一）。VM `/opt/felis/src` = `b4ef42d` 快照。
+
 ## 结论：离"生产可用"还差什么（按优先级）
 
 1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
@@ -578,11 +612,12 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 12. ~~`felis nano` 全链~~ ✅ **已走查**（第三十四批：HTTP 矩阵红 13→绿 60/60；systemd/配置/firewalld 三层重跑全绿；同批修复 #55——坏源静默挡住验证梯子）。
 13. ~~NetworkPolicy 真机强制矩阵~~ ✅ **已演练**（第三十五批：pod 源端口级矩阵全绿、转发型外部源「拒→放→拒」白名单闭环、host/ClusterIP/NodePort 路径全通；两条已归因注记——node-local 流量豁免、firewalld 仅放 DNAT 服务流）。
 14. ~~面板错误文案全量本地化~~ ✅ **已修**（第三十六批：#60，37 个用户可达码补齐双语映射，三类真机验证；管理面写操作 Run4c 复核 0 缺陷）。
+15. ~~管理面交互级收尾（submissions / 会话撤销 / 启动）~~ ✅ **已演练**（第三十七批：点击→构建→succeeded 全链、单条/全部撤销精确验证；同批修 #61——LP 写承诺按 LP 官方语义收窄，真机复验）。
 
-## 剩余待演练队列（截至第三十六批）
+## 剩余待演练队列（截至第三十七批）
 
 - **reaper 多节点实机**：`--reaper-node` 渲染/dry-run/收敛已过（第二十三批）；真实多节点调度行为需要第二台机器组双节点集群，单节点环境覆盖不到（已知缺口）。
-- **面板交互级收尾**：全路由渲染级巡检（14 路由）第十三批已过；管理面写操作（images/builds/users）第三十六批复核 0 缺陷。剩：`/admin/submissions` approve/reject 交互、`/admin/updates` 深挖、用户会话撤销等按 CDP 逐页补完（此前只读加载均正常）。
+- **面板交互级收尾**：全路由渲染级巡检（14 路由）第十三批已过；管理面写操作（images/builds/users/submissions/会话）第三十六、三十七批复核 0 缺陷。剩：`/admin/updates` 深挖、服务器详情各页（files 写流程、backups 按钮）交互级复跑。
 - **`demo-up.sh`**（可选）：dev/demo 路径，第三十二批口径未改。
 
 （真实游戏客户端进服已按决定跳过，用内部 mint/approve hook 链替代。）
@@ -597,7 +632,7 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 - 面板会话 cookie：`/tmp/owner-cookies2.txt`（2026-09-23 铸；auditfix42 部署后仍有效；staff 邮件门被设计拒绝 → 走第二十八批的 op-login + 内部面 approve hook 链）；API 助手：`/tmp/fcurl.sh`
 - 测试服：`test-one`（minecraft ns，stopped）；合法备份 `bk-47ee2e7e96e5a4ca9d0e51b805518bac`
 - CDP 调试口：Mac `127.0.0.1:9333`（独立 Chrome，profile `/tmp/felis-chrome2`）；WebAuthn 虚拟认证器需在**同一 CDP 会话**内完成仪式，且先 `Page.bringToFront`（否则 NotAllowedError: page does not have focus）
-- 已部署到 VM：控制面（api/operator/reaper + `FELIS_IMAGE`）= `registry.felis.svc:5000/felis/felis:auditfix60`（含至 #60 的全部修复；镜像托管于内建 registry）；系统服/推荐 ref = `registry.felis.svc:5000/felis/{limbo,lobby,paper}:demo`；源码快照 `/opt/felis/src`（`c9af548`；上一版在 `/opt/felis/src.bak`，更早 `src.old43`）；host 二进制 = `/usr/local/bin/felis` = `v0.0.0+fix60`（含 #53–#60；旧件留档 `/root/felis-fix54.bin`（sha `a0b29153…`）、`/root/felis-fix52.bin`、`/root/felis-auditfix44.bin`）；**docker 守护进程在本批构建后已停（用前 `sudo systemctl start docker`）**；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）`suspend=false / …auditfix60 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=21；SMTP 密码 env 待「configure email」刷新时落地
+- 已部署到 VM：控制面（api/operator/reaper + `FELIS_IMAGE`）= `registry.felis.svc:5000/felis/felis:auditfix61`（含至 #61 的全部修复；镜像托管于内建 registry）；系统服/推荐 ref = `registry.felis.svc:5000/felis/{limbo,lobby,paper}:demo`；源码快照 `/opt/felis/src`（`b4ef42d`；上一版在 `/opt/felis/src.bak`，更早 `src.old43`）；host 二进制 = `/usr/local/bin/felis` = `v0.0.0+fix61`（含 #53–#61；旧件留档 `/root/felis-fix54.bin`（sha `a0b29153…`）、`/root/felis-fix52.bin`、`/root/felis-auditfix44.bin`）；**docker 守护进程在第三十七批构建后已停（用前 `sudo systemctl start docker`）**；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）`suspend=false / …auditfix61 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=21；SMTP 密码 env 待「configure email」刷新时落地
 - 安装器重跑配方（第三十批复用；先同步 `/opt/felis/src` 再跑）：`cd /root && FELIS_SKIP_FETCH=1 FELIS_INSTALL_MODE=full FELIS_IMAGE=registry.felis.svc:5000/felis/felis:<tag> FELIS_WORLDS_HOST_PATH=/var/lib/rancher/k3s/storage nohup bash /opt/felis/src/deploy/bootstrap.sh > /root/bootstrap-<tag>.log 2>&1 &`；完成后 `grep -c '\[fail\]'` 应为 0
 - 第三十一批 drill 留档：`/root/preTUI43/`（首装走查前快照：两 toml + 两 ns Secret + sha256、走查后 Secret 快照）、`/root/pre51-replica.toml`/`post51-replica.toml`/`post51b-replica.toml`（#51 红/绿副本证据）；走查残留（scratch 库、scratch 配置、hba 行、tmux 会话）均已清理
 - 第三十二批 drill 留档：`/root/preS3/`（S3 走查前快照：两 toml + 两 ns Secret + sha256 + deploys.txt）、`/root/s3wiz/`（posts3 快照、postroll-sha256、fix52-red.txt、fix52-green.txt）、`/root/felis-fix52`（含 #52 的宿主二进制）；MinIO 容器+卷+两镜像、`felis-uploads-s3` Secret、DB 行（`image_submissions` `sub-853a4e2ba4ba6443`）、/tmp 残留均已清理，docker 已停