docs(audit): twenty-eighth batch — #45 blind-review fix live-verified (context download, byte-exact); reachability 1-45
This commit is contained in:
1 file changed
+23
-4
+23
-4
@@ -45,7 +45,7 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
|
|||||||
| 14 | controller-runtime 日志噪音 | ✅ 修复：SetLogger 接 slog（`a415246`） |
|
| 14 | controller-runtime 日志噪音 | ✅ 修复：SetLogger 接 slog（`a415246`） |
|
||||||
| 15 | reaper 启用未演练 | ✅ 已演练（见"第二日"节；CronJob 仍 `suspend=true` 防误删） |
|
| 15 | reaper 启用未演练 | ✅ 已演练（见"第二日"节；CronJob 仍 `suspend=true` 防误删） |
|
||||||
|
|
||||||
## 可达性分级（#1–#44）——这些缺陷真实使用中到底谁能踩到
|
## 可达性分级（#1–#45）——这些缺陷真实使用中到底谁能踩到
|
||||||
|
|
||||||
回应质疑"是不是全在测边界条件 / 只有内部 hook 才能触发"：
|
回应质疑"是不是全在测边界条件 / 只有内部 hook 才能触发"：
|
||||||
|
|
||||||
@@ -98,8 +98,9 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
|
|||||||
| 42 | 对无世界盘服备份/恢复 → 202 后静默卡 30 分钟 | ② |
|
| 42 | 对无世界盘服备份/恢复 → 202 后静默卡 30 分钟 | ② |
|
||||||
| 43 | #42 配套：409 一刀切文案 | ②（轻） |
|
| 43 | #42 配套：409 一刀切文案 | ②（轻） |
|
||||||
| 44 | 重跑 `felis setup` 完成 s/c reconfigure → 状态框退回“Setup complete”（信息一致性） | ①（轻） |
|
| 44 | 重跑 `felis setup` 完成 s/c reconfigure → 状态框退回“Setup complete”（信息一致性） | ①（轻） |
|
||||||
|
| 45 | 评审看不到将被执行的 recipe（执行的是上传 blob 里的 Dockerfile）→ 盲批 | ① |
|
||||||
|
|
||||||
统计：① 18 ｜ ② 16 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 44。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
|
统计：① 19 ｜ ② 16 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 45。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
|
||||||
|
|
||||||
## 已验证事实（正向清单）
|
## 已验证事实（正向清单）
|
||||||
|
|
||||||
@@ -348,6 +349,24 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
|
|||||||
- **清尾（残留全清）**：whitelist `e2e/alert-drill` 摘除（204）；`sub-alertdrill` 目录、`/tmp/drillctx`、两个演练 Job、tmux `prom`/`fwd`/`alertpoll`、`/root/prom-drill`（promtool+prometheus 二进制）全删；DB `%alert-drill%` 行删除（whitelist/build 复核 count=0）；宿主无残留监听/进程。演练期间 live api 进程内计数器=1（重启归零，属演练事实）。
|
- **清尾（残留全清）**：whitelist `e2e/alert-drill` 摘除（204）；`sub-alertdrill` 目录、`/tmp/drillctx`、两个演练 Job、tmux `prom`/`fwd`/`alertpoll`、`/root/prom-drill`（promtool+prometheus 二进制）全删；DB `%alert-drill%` 行删除（whitelist/build 复核 count=0）；宿主无残留监听/进程。演练期间 live api 进程内计数器=1（重启归零，属演练事实）。
|
||||||
- **可达性追加**：#44 定级 ①（轻）——已装机环境重跑 `felis setup` 完成 storage/connect reconfigure 即触发。
|
- **可达性追加**：#44 定级 ①（轻）——已装机环境重跑 `felis setup` 完成 storage/connect reconfigure 即触发。
|
||||||
|
|
||||||
|
### 本轮新增真机证据（第二十八批：缺陷 #45 —— 审核门"盲批"：评审看不到将被执行的 recipe）
|
||||||
|
|
||||||
|
- **缺陷 #45（构建 lane·审核语义）**：被执行的 Dockerfile 永远来自**上传上下文压缩包根目录的 `Dockerfile`**（`build/jobspec.go` 钉死 `--dockerfile=Dockerfile`），API 的 `dockerfile` 字段**仅审计存档**（`submit.auditDockerfile`、`build.Request` 注释均已声明）——但审核者没有任何路径能看到它：`GET /api/v1/submissions` 不含 blob 内容、面板只显示 `context_ref` 文本、内部面取件路由是 service-token（评审用不了）→ "人工审核是门禁"事实上是**盲批**。同批口径缺口：`POST /api/v1/images/build` 的 `dockerfile` 字段在 OpenAPI 里无任何说明（易被当成"将被执行"），面板表单也把该框呈现为"Dockerfile 内容 *"。
|
||||||
|
- **修复（`168a375`）**：
|
||||||
|
- 新增 admin-tier `GET /api/v1/submissions/{id}/context`：评审下载与构建 Pod 同源同字节的 `context.tar.gz`；`Content-Disposition: attachment` + `nosniff`（攻击者提供的归档只下载、不渲染）；审计 `submission.context.download`（actor=评审者、target=submission id）。
|
||||||
|
- 内部面取件 handler 共享 `openSubmissionContext`/`streamSubmissionContext`（行为不变，原测试锁定）。
|
||||||
|
- OpenAPI：新路由 + `/api/v1/images/build` 字段描述补全（明说"执行的是 context 根目录的 Dockerfile；`dockerfile` 仅审计"）。
|
||||||
|
- 面板：SubmissionsPage 展开区新增「下载上下文」按钮（spinner/错误呈现，i18n en/zh）；ImageBuildPage 表单补审计说明行。
|
||||||
|
- 测试：`TestAdminSubmissionContextRoute`（流式/404/503）+ admin-only 矩阵加该路由 + OpenAPI parity 强制文档；面板 117 单测 + 构建、go vet/go test 全绿。
|
||||||
|
- **真机验证（auditfix41 已部署；owner 会话经 op-login + 内部面代 approve 重铸）**：
|
||||||
|
- admin 下载 `sub-bf7dc18e9dd97dc2` → **200**，`attachment; filename="context.tar.gz"`、`application/gzip`、`nosniff`；sha256 `205496f2…` **与 uploads PVC blob 逐字节一致**；
|
||||||
|
- 内部面（Bearer=felis-service-token）同 blob → 200 + 同 sha256（重构未破坏构建取件路径）；无 token → 401；
|
||||||
|
- 有效玩家会话（console host 隔离，仅 adminOnly 生效）→ **403**；匿名 → 401；不存在 id（admin）→ 404；
|
||||||
|
- 审计落账：`audit_logs` = `[email protected] | submission.context.download | sub-bf7dc18e9dd97dc2`；
|
||||||
|
- 面板产物：服务端 index.html 引用新构建 `index-CwFSKpgW.js`，bundle 内含新按钮逻辑（grep 命中 3 处）。
|
||||||
|
- **可达性追加**：#45 定级 ①——每一次真实的"用户提交 → 管理员审核"都会踩到（审核者此前无法查看将被执行的内容）。
|
||||||
|
- **hook 链补齐（可复用）**：staff 账号走邮件登录门会被设计拒绝（refuse staff）→ owner 会话铸法：`op-login/start`（email=felis-owner@example.com）→ VM 日志 grep `email-otp` 取码（no-Mailer fallback）→ 内部面 `op-login/{id}/approve`（Bearer=felis-service-token；body `approver_uuid`=owner 的 mc_uuid）→ `op-login/finish`（curl -c 存 cookie）。
|
||||||
|
|
||||||
## 结论：离"生产可用"还差什么（按优先级）
|
## 结论：离"生产可用"还差什么（按优先级）
|
||||||
|
|
||||||
1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
|
1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
|
||||||
@@ -369,10 +388,10 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
|
|||||||
|
|
||||||
## 复现入口速查
|
## 复现入口速查
|
||||||
|
|
||||||
- 面板会话 cookie：`/tmp/felis-cookies.json`；API 助手：`/tmp/fcurl.sh`
|
- 面板会话 cookie：`/tmp/owner-cookies2.txt`（auditfix41 后新铸；staff 邮件门被设计拒绝 → 走第二十八批的 op-login + 内部面 approve hook 链）；API 助手：`/tmp/fcurl.sh`
|
||||||
- 测试服：`test-one`（minecraft ns，stopped）；合法备份 `bk-47ee2e7e96e5a4ca9d0e51b805518bac`
|
- 测试服：`test-one`（minecraft ns，stopped）；合法备份 `bk-47ee2e7e96e5a4ca9d0e51b805518bac`
|
||||||
- CDP 调试口：Mac `127.0.0.1:9333`（独立 Chrome，profile `/tmp/felis-chrome2`）；WebAuthn 虚拟认证器需在**同一 CDP 会话**内完成仪式，且先 `Page.bringToFront`（否则 NotAllowedError: page does not have focus）
|
- CDP 调试口：Mac `127.0.0.1:9333`（独立 Chrome，profile `/tmp/felis-chrome2`）；WebAuthn 虚拟认证器需在**同一 CDP 会话**内完成仪式，且先 `Page.bringToFront`（否则 NotAllowedError: page does not have focus）
|
||||||
- 已部署到 VM：`felis-api`/`felis-operator`/reaper 镜像 = `felis:auditfix40`（含 #20–#44 + 94f71ee 的 /metrics；`FELIS_IMAGE` 已同步）；CLI 侧最新二进制 = `/root/felis-auditfix40`（含 #44；TUI 走查用）；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）已收敛为 `suspend=false / felis:auditfix40 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=20；SMTP 密码 env 待 `felis setup`「configure email」刷新时落地；felis-api Role 已手动补 `persistentvolumeclaims:get`、operator Role 已手动补 `minecraftservers:patch`（`felis install/setup` 重渲染时收敛）
|
- 已部署到 VM：`felis-api`/`felis-operator`/reaper 镜像 = `felis:auditfix41`（含 #20–#45 + 94f71ee 的 /metrics；`FELIS_IMAGE` 已同步）；CLI 侧最新二进制 = `/root/felis-auditfix41`；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）`suspend=false / felis:auditfix41 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=20；SMTP 密码 env 待 `felis setup`「configure email」刷新时落地；felis-api Role 已手动补 `persistentvolumeclaims:get`、operator Role 已手动补 `minecraftservers:patch`（`felis install/setup` 重渲染时收敛）
|
||||||
- pgint 正确跑法（走 VM 的 PG，勿在本机起容器）：Mac 侧短隧道 `ssh -6 -i ~/.ssh/id_ed25519 -N -L 15433:127.0.0.1:5432 root@…` → `FELIS_TEST_PG_URL='postgres://felis:<pw>@localhost:15433/felis_pgint?sslmode=disable' go test -tags pgint ./internal/pgint/ -count=1`（pg_hba 的 `felis`/`felis_pgint` 规则已具备；隧道用完即 kill）
|
- pgint 正确跑法（走 VM 的 PG，勿在本机起容器）：Mac 侧短隧道 `ssh -6 -i ~/.ssh/id_ed25519 -N -L 15433:127.0.0.1:5432 root@…` → `FELIS_TEST_PG_URL='postgres://felis:<pw>@localhost:15433/felis_pgint?sslmode=disable' go test -tags pgint ./internal/pgint/ -count=1`（pg_hba 的 `felis`/`felis_pgint` 规则已具备；隧道用完即 kill）
|
||||||
- breakGlass TUI 驱动法：VM tmux `new-session -d -s bg -x 160 -y 45 "/root/felis-auditfixNN breakGlass"` + `set-window-option -t bg remain-on-exit on`（否则退出摘要读不到）；send-keys/capture-pane 驱动；退出码 1 = 操作失败（卡上会显示原因）
|
- breakGlass TUI 驱动法：VM tmux `new-session -d -s bg -x 160 -y 45 "/root/felis-auditfixNN breakGlass"` + `set-window-option -t bg remain-on-exit on`（否则退出摘要读不到）；send-keys/capture-pane 驱动；退出码 1 = 操作失败（卡上会显示原因）
|
||||||
- 构建链路 drill 现成条件：`felis-build` 里有 `felis-service-token`（Secret 复制）；`felis-config` 里 `kaniko_image/trivy_image` 指向 k3s containerd 已导入的 pin tag、`trivy_db_repository = registry.felis.svc:5000/mirror/trivy-db:2`（镜像配方 §8e）——⚠ pin 值必须同时写在 `/etc/felis/felis.host.toml` + `/etc/felis/felis.pod.toml`；改动按 §8e 重渲染 Secret + roll。只热补 live Secret 会被任何 reconfigure 冲掉（第二十六批实测教训）
|
- 构建链路 drill 现成条件：`felis-build` 里有 `felis-service-token`（Secret 复制）；`felis-config` 里 `kaniko_image/trivy_image` 指向 k3s containerd 已导入的 pin tag、`trivy_db_repository = registry.felis.svc:5000/mirror/trivy-db:2`（镜像配方 §8e）——⚠ pin 值必须同时写在 `/etc/felis/felis.host.toml` + `/etc/felis/felis.pod.toml`；改动按 §8e 重渲染 Secret + roll。只热补 live Secret 会被任何 reconfigure 冲掉（第二十六批实测教训）
|
||||||
|
|||||||
Reference in new issue
Block a user