docs(audit): thirty-fourth batch — felis nano sweep (red 13 -> green 60/60), #55 bad-source ladder stall

AUDIT-2026-09-22.md

@@ -45,7 +45,7 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 | 14 | controller-runtime 日志噪音 | ✅ 修复：SetLogger 接 slog（`a415246`） |
 | 15 | reaper 启用未演练 | ✅ 已演练（见"第二日"节；CronJob 仍 `suspend=true` 防误删） |
 
-## 可达性分级（#1–#54）——这些缺陷真实使用中到底谁能踩到
+## 可达性分级（#1–#55）——这些缺陷真实使用中到底谁能踩到
 
 回应质疑"是不是全在测边界条件 / 只有内部 hook 才能触发"：
 
@@ -108,8 +108,9 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 | 52 | 向导内 `s`/`c` 重配置后：工作负载 ns 的 `felis-config` 镜像停在上一次运行快照，直到下次 `felis setup`/安装器才收敛 | ② |
 | 53 | 默认安装或 `felis update` 的 felis-api 检查：坐标仍指向已迁移的旧仓库，现仅靠 GitHub 301 兜住——redirect 一退休，安装器默认 URL 与更新检查全挂 | ② |
 | 54 | 完成态安装上照 `felis update` 指引升级：`sudo felis setup` 只开配置控制台，任何组件都不会动（三处 run 指引 + trailer 全假） | ②（文档） |
+| 55 | 配置的源回 200 但档案字段不可用（马虎自建/三方 Yggdrasil）：坏源在前 → 经梯子的登录被静默吞掉（零日志、后续源不被询问） | ② |
 
-统计：① 20 ｜ ② 24 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 54。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
+统计：① 20 ｜ ② 25 ｜ ③ 3＋#23(a) ｜ ④ 4 ｜ 决策 3 ＝ 55。第三批构建链另有 3 处未编号修复（Job requests 超小节点上限 → 永远 Pending、Kaniko chown、Trivy DB egress 被锁）——均属 ①/②。
 
 ## 已验证事实（正向清单）
 
@@ -485,6 +486,29 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 - 文案同步：`docs/troubleshooting.md §15` 删掉 “or `sudo felis setup`”、补 channel caveat；测试改为 `TestApplyGuidancePointsEveryComponentAtTheInstaller`（钉安装器路径 + 禁 `run: sudo felis setup`）。
 - 可达性：②（文档/指引；同 #38 型）。
 
+### 本轮新增真机证据（第三十四批：`felis nano` 全链走查 60/60；缺陷 #55 —— 坏源静默挡住验证梯子）
+
+**零、装置（全部在 VM，不进产品环境）**：`/srv/nanotest/nano-stub.py`＝可控 Yggdrasil 源，路径即行为——`/ok/<name>`、`/okid/<name>/<id>`、`/props/<name>`、`/badname/<case>`（tooshort/toolong/badchar/section/noname）、`/none`=204、`/boom`=500、`/redir`=302、`/garbage`、`/emptyid`、`/slow/<secs>`；跑在 127.0.0.1:9900，临时单元 `nano-stub`，请求日志 `/srv/nanotest/stub.log`。驱动脚本：`nano-matrix.sh`（HTTP 矩阵 S1–S7）、`nano-service.sh`（systemd 层）、`nano-config.sh`（配置校验）、`nano-fw.sh`（firewalld）；`nano-harness.sh` 从 HEAD 版 `bootstrap.sh` 提取产品函数在 scratch 路径跑（`felis-nano-test` 改名件，不碰产品单元）。
+
+**一、HTTP 矩阵 S1–S7（60 项断言）**
+- 红（修复前 `v0.0.0+audit-nano1`）：`SUMMARY pass=47 fail=13`——13 红全在 #55 语义内：5 个坏名用例「应 503+日志、实得静默 204」（状态+日志 ×2＝10），failover 3（坏源在前登录不落第二源 ×2、无日志 ×1）。留档 `matrix-red.r2.log`。
+- 绿（fix55，同装置重跑）：`SUMMARY pass=60 fail=0`。留档 `matrix-fix55.r2.log` 与 `matrix-fix55/`（更早原跑在 `matrix/`）。
+- 覆盖面：S1 输入校验（缺参/超长→204、POST→405、未知路径→404、带体 GET→400、HEAD→204、400 带 `Connection: close`）、S2 三方登录全链（前缀 + felisAuthNS UUID 确定性、ip/serverId 转发保真）、S3 premium 撞名改名（`LS_`）与免费名不动、S4 失败模式（不可达/500/302/garbage/204 → 跳过、记日志、503）、S5 多源优先级 + 坏源后 failover、S6 日志纪律（长 URI 截断、控制字节转义）、S7 properties 转发。
+
+**二、systemd 层（`nano-service.sh`，真 unit + 真 DynamicUser；重跑落盘 `nano-service.r2.log`，0 FAIL）**：装服务→起服务；重跑语义（配置字节不动、`resolve_nano_listen` 从 unit 读回端点）；drain（stop 期间 in-flight 登录照样答完，实测 stop 等待 5335ms）；SIGKILL 后自动重启；端点迁移 8081→8099 后新址应答、旧址关闭；三种启动文案（loopback「Bound to loopback」/ CIDR「admits」/ 无 CIDR「WARNING」）。
+
+**三、配置层（`nano-config.sh`，LoadNano 16/16，落盘 `nano-config.r2.log`）**：未知键、空/重复/保留 tag、colon、空白、坏 prefix、重复 prefix（大小写不敏感）、非 http scheme、URL 带 query、明文公网 http、缺文件、`[server] listen` 忽略警告、Mojang-only 可服务。
+
+**四、firewalld（`nano-fw.sh`，3/3，落盘 `nano-fw.r2.log`）**：关旧「开全源」8081/tcp、仅对 CIDR 开 rich rule、loopback 不开洞、无 CIDR 警告、快照清理还原。
+
+**五、缺陷 #55（提交 `9dad61f`）**
+- 红（fix54 实机）：配置源回 200 但档案字段不可用（三方源名字进不了 MC 字符集；身份源 UUID 不解析）→ 静默 204、零日志；且筛查在 `handleHasJoined` 直接 `return` → [坏源, 好源] 顺序下 204，好源根本没被询问。
+- 根因：两个 200-后筛查在 handler 层（200 已赢下梯子之后），而同类坏答案（200 无档案/非 200/不可达）在 `resolveHasJoined` 里是「记日志 + skip + failed」——一致性缺口。
+- 修复：筛查移入 `resolveHasJoined`（身份源 `uuid.Parse`、三方源 `mcUsernameRe`）→ 命中记日志（`unusable profile name` / `unparseable profile id`）+ `failed=true` + `continue`；handler 守卫保留为最后防线（注释更新）。单测 +3（含 `log.Writer()` 捕获断言）。
+- 可达性：#55 ②——需要配置了一个「回 200 但字段不可用」的源（马虎的自建/三方 Yggdrasil）；坏源在前时经梯子的登录全部被吞（静默、零日志），安全侧（坏名不落玩家列表）保留。
+
+**六、观察（不计缺陷）**：premium 冷查询 fail-closed 抖动——api.mojang.com 从 VM 首查偶发接近 2s 超时 → 偶按「疑似 premium」给免费名加前缀（`FelisNanoStub1` → `LS_FelisNanoStub`）；符合 `isPremiumName` 既定取舍（误加前缀=外观代价，误放行=抢名），记观察不修。
+
 ## 结论：离"生产可用"还差什么（按优先级）
 
 1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
@@ -498,6 +522,16 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 9. ~~fleet 系统服务死操作~~ ✅ **已修**（`2f90851`，缺陷 #37）。
 10. ~~S3 上传通道演练 + 存储向导逐屏~~ ✅ **已演练**（第二十四批：上传通道全链、0 缺陷；第三十二批：向导屏逐屏 + 上传取件 + UI 回滚，0 功能缺陷并修 #52）。
 11. ~~breakGlass 控制台逐屏~~ ✅ **已演练**（第二十五批：菜单 4 操作 + bootstrap 分支，缺陷 #39–#43 全修全验）。~~`felis setup` 全屏向导逐屏~~ ✅ **重跑侧已逐屏**（第二十六批），**首装侧连续走查也已完成**（第三十一批：scratch 库单次连续走完全部屏幕 + 轨道回顾，0 缺陷）。
+12. ~~`felis nano` 全链~~ ✅ **已走查**（第三十四批：HTTP 矩阵红 13→绿 60/60；systemd/配置/firewalld 三层重跑全绿；同批修复 #55——坏源静默挡住验证梯子）。
+
+## 剩余待演练队列（截至第三十四批）
+
+- **NetworkPolicy 真机强制矩阵**：三张策略已 apply 到 live `minecraft` ns（default-deny / allow-rcon-from-control-plane / allow-game-from-velocity），单测与收敛 diff 已过；尚缺真机连通性组合——控制面 pod → 25575 通、其他 pod → 25575 被拒、游戏口只对 Velocity 侧 CIDR 开、其余源被拒。
+- **reaper 多节点实机**：`--reaper-node` 渲染/dry-run/收敛已过（第二十三批）；真实多节点调度行为需要第二台机器组双节点集群，单节点环境覆盖不到（已知缺口）。
+- **面板交互级收尾**：全路由渲染级巡检（14 路由）第十三批已过，users/files/backups/submissions/updates/passkey 等已交互级深挖；剩余页面按 CDP 逐页补完交互级点击。
+- **`demo-up.sh`**（可选）：dev/demo 路径，第三十二批口径未改。
+
+（真实游戏客户端进服已按决定跳过，用内部 mint/approve hook 链替代。）
 
 ## 系统性观察
 
@@ -509,11 +543,12 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 - 面板会话 cookie：`/tmp/owner-cookies2.txt`（2026-09-23 铸；auditfix42 部署后仍有效；staff 邮件门被设计拒绝 → 走第二十八批的 op-login + 内部面 approve hook 链）；API 助手：`/tmp/fcurl.sh`
 - 测试服：`test-one`（minecraft ns，stopped）；合法备份 `bk-47ee2e7e96e5a4ca9d0e51b805518bac`
 - CDP 调试口：Mac `127.0.0.1:9333`（独立 Chrome，profile `/tmp/felis-chrome2`）；WebAuthn 虚拟认证器需在**同一 CDP 会话**内完成仪式，且先 `Page.bringToFront`（否则 NotAllowedError: page does not have focus）
-- 已部署到 VM：控制面（api/operator/reaper + `FELIS_IMAGE`）= `registry.felis.svc:5000/felis/felis:auditfix44`（含至 #51 的全部修复；镜像托管于内建 registry）；系统服/推荐 ref = `registry.felis.svc:5000/felis/{limbo,lobby,paper}:demo`；源码快照 `/opt/felis/src`（`328e570`，已由 `git archive` 暂存；上一版在 `/opt/felis/src.old43`）；host 二进制 = `/usr/local/bin/felis` = `v0.0.0+fix54`（含 #53/#54；留档 `/root/felis-fix52.bin`（sha `0bd49467…`）与 `/root/felis-auditfix44.bin`；**下次镜像重建请从含 `397a400` 的 HEAD 重打并重新提取宿主二进制**）；**docker 守护进程安装后被停掉（用前 `sudo systemctl start docker`）**；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）`suspend=false / …auditfix44 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=21；SMTP 密码 env 待「configure email」刷新时落地
+- 已部署到 VM：控制面（api/operator/reaper + `FELIS_IMAGE`）= `registry.felis.svc:5000/felis/felis:auditfix44`（含至 #51 的全部修复；镜像托管于内建 registry）；系统服/推荐 ref = `registry.felis.svc:5000/felis/{limbo,lobby,paper}:demo`；源码快照 `/opt/felis/src`（`328e570`，已由 `git archive` 暂存；上一版在 `/opt/felis/src.old43`）；host 二进制 = `/usr/local/bin/felis` = `v0.0.0+fix55`（sha `2c8c34fd…`；含 #53–#55；留档 `/root/felis-fix54.bin`（sha `a0b29153…`）、`/root/felis-fix52.bin`、`/root/felis-auditfix44.bin`；**下次镜像重建请从含 `9dad61f` 的 HEAD 重打并重新提取宿主二进制**）；**docker 守护进程安装后被停掉（用前 `sudo systemctl start docker`）**；**world 执行器以 root+DAC_OVERRIDE 运行**；reaper CronJob（minecraft ns）`suspend=false / …auditfix44 / nodeSelector=localhost.localdomain`；迁移 `schema_migrations` max=21；SMTP 密码 env 待「configure email」刷新时落地
 - 安装器重跑配方（第三十批复用；先同步 `/opt/felis/src` 再跑）：`cd /root && FELIS_SKIP_FETCH=1 FELIS_INSTALL_MODE=full FELIS_IMAGE=registry.felis.svc:5000/felis/felis:<tag> FELIS_WORLDS_HOST_PATH=/var/lib/rancher/k3s/storage nohup bash /opt/felis/src/deploy/bootstrap.sh > /root/bootstrap-<tag>.log 2>&1 &`；完成后 `grep -c '\[fail\]'` 应为 0
 - 第三十一批 drill 留档：`/root/preTUI43/`（首装走查前快照：两 toml + 两 ns Secret + sha256、走查后 Secret 快照）、`/root/pre51-replica.toml`/`post51-replica.toml`/`post51b-replica.toml`（#51 红/绿副本证据）；走查残留（scratch 库、scratch 配置、hba 行、tmux 会话）均已清理
 - 第三十二批 drill 留档：`/root/preS3/`（S3 走查前快照：两 toml + 两 ns Secret + sha256 + deploys.txt）、`/root/s3wiz/`（posts3 快照、postroll-sha256、fix52-red.txt、fix52-green.txt）、`/root/felis-fix52`（含 #52 的宿主二进制）；MinIO 容器+卷+两镜像、`felis-uploads-s3` Secret、DB 行（`image_submissions` `sub-853a4e2ba4ba6443`）、/tmp 残留均已清理，docker 已停
 - 第三十三批 drill 留档（VM）：`/tmp/felis-fix53`、`/tmp/felis-fix54`（宿主二进制；sha `9afd141d…` / `a0b29153…`）、`/root/felis-fix52.bin`；`/tmp/player-cookies.txt`（player 会话）；面板 CDP 驱动脚本 `/tmp/cdp-updates2.js`（Mac 侧）
+- 第三十四批 drill 留档（VM）：`/srv/nanotest/`（nano 装置：`nano-stub.py` + 5 驱动脚本 + `matrix/` 红原跑 / `matrix-fix55/` 绿原跑）与四层重跑落盘 `matrix-red.r2.log`（`pass=47 fail=13`）/ `matrix-fix55.r2.log`（`pass=60 fail=0`）/ `nano-service.r2.log` / `nano-config.r2.log` / `nano-fw.r2.log`；`nano-stub` 临时单元仍在跑（收尾 `systemctl stop nano-stub`）；宿主二进制 `/usr/local/bin/felis-nano-test` = fix55 改名件（sha `2c8c34fd…`，与 `/usr/local/bin/felis` 同物）
 - pgint 正确跑法（走 VM 的 PG，勿在本机起容器）：Mac 侧短隧道 `ssh -6 -i ~/.ssh/id_ed25519 -N -L 15433:127.0.0.1:5432 root@…` → `FELIS_TEST_PG_URL='postgres://felis:<pw>@localhost:15433/felis_pgint?sslmode=disable' go test -tags pgint ./internal/pgint/ -count=1`（pg_hba 需 `host felis_pgint felis 127.0.0.1/32 scram-sha-256`；第三十一批把现场丢失的这条补回；隧道用完即 kill）
 - breakGlass TUI 驱动法：VM tmux `new-session -d -s bg -x 160 -y 45 "/root/felis-auditfixNN breakGlass"` + `set-window-option -t bg remain-on-exit on`（否则退出摘要读不到）；send-keys/capture-pane 驱动；退出码 1 = 操作失败（卡上会显示原因）
 - 构建链路 drill 现成条件：`felis-build` 里有 `felis-service-token`（Secret 复制）；`felis-config` 的 kaniko/trivy pin 指向内建 registry 的 mirror 路径（`registry.felis.svc:5000/mirror/...`，见 §8e）——本批后安装器重跑会 **carry** 这些 pin（不再被写盘冲掉；#49 复验点）；直构一行：`POST /api/v1/images/build`（context=`http://felis-api-internal.felis.svc.cluster.local:8081/api/v1/internal/submissions/sub-bf7dc18e9dd97dc2/context`）