Leo/Arcrun
1
0
Fork 0
Code Issues 49 Pull Requests 5 Actions Packages Projects Releases Wiki Activity
410 Commits 27 Branches 0 Tags
main
Commit Graph

4 Commits

Author SHA1 Message Date
uncle6me-web 45169ab25e feat(build): 一個實例會用到的每一顆 worker 都在 Arcrun 編（D91／Arcrun#125） 
官方編譯點從 5 顆擴到 23 顆，並把 portal 前端的產生器從 arcrun-rag 搬回來。

為什麼不是「順手多編幾顆」：
- 只編 5 顆 ⇒ 下游 bundle 裡就只有 5 顆 ⇒「零件用到才下載」沒有貨可以下載。
  而 auth_static_key 是每一支產品工作流解 {{credential.X}} 都會打的那一顆
  ⇒ 走網頁安裝器裝出來的實例，工作流一跑就 500（Arcrun#124 的 error code: 1042）。
- portal 前端（arcrun-rag-ui）當時仍由 arcrun-rag 自己拼裝原始碼
  ⇒ 使用者拿到的那顆 worker，沒有任何 Arcrun commit 說得出它的來源。
  leo：「今天開始出貨一律不准在 arcrun rag 或任何別的地方 build，這就是 arcrun 的專屬工作。」

做法：
- 零件 worker 改用**掃描** .component-builds/（不是手寫清單——手寫清單就是
  arcrun-rag#27／D48 那個病的形狀），worker 名一律讀該零件自己的 wrangler.toml。
- 可出貨的判準＝**部署位元組在版控裡**。.gitignore 明文排除的三顆
  （claude_api／km_writer／kbdb_upsert_block，DECISIONS §1「錯做成零件」）
  因此自動落在公庫外，而且是**寫進 manifest.excluded 的**，不是安靜跳過。
- 輸出目錄改成每次只留這一輪該有的，清掉舊成品（拔掉棘輪）。
- UI 產生器原樣搬過來，兩道閘（世代閘、前端 JS 語法閘）一起搬——
  它們驗的是本 repo 的 console-ui/public，本來就該長在來源這一側。

實測（本機 worktree，依 lockfile 重裝依賴後）：
- 23/23 編成功；四顆既有引擎成品**位元組完全重現** committed 值
  （cypher 8e6487478bc8／kbdb f15e16cca6ce／code 751634a3fc9a／mcp 9bc8dffb34d0／
   http-request cdd97364f277）⇒ 這次擴充沒有動到既有零件。
- arcrun-rag-ui 的產出與搬家前逐位元比對，**只差第一行註解**
  （那行必須改：它原本指向一支不再產生它的腳本）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-15 00:59:59 +08:00
uncle6me-web b223a69884 fix(portal): 藏書地圖看得到自己的知識——租戶字串改從「寫入端」來，不再拿環境變數預設值（Arcrun#108） 
leo 2026-08-12 實撞：藏書地圖回 0 個庫，同一分鐘 KBDB 裡有 1854 條三元組，
`arcrun_whoami` 顯示 admin／全部知識庫、`kbdb_search` 也查得到——只有地圖那格是空的。

病根（不是資料掉了，是讀寫兩端各拿一個來源）：
  寫入端 owner_id ＝ `~/.arcrun/config.yaml` 的 `api_key`（CLI push／小幫手上傳／MCP，
    leo ＝ `bfezv28v`）
  讀取端過濾 ＝ `portalTenant(env) = env.CONSOLE_TENANT || "leo"`
    ——repo toml 帶的**官方 prod 值**，而 `acr` 從來不注入 CONSOLE_TENANT
  ⇒ 那個 `"leo"` 不是理論邊角，是每台 self-hosted 實例的實際行為，1854 條全被濾掉。

與 #105（`env.MCP_OWNER_NAMESPACE || "leo"`）同一句話，換一個檔案。

租戶字串該從哪裡來（本票的核心判斷）：
  **從「寫入這批知識的那一方」來，不是從一份手抄的環境變數預設值來。**
  不是「掛到每個帳號上」——portal 帳號共用同一台實例的知識庫（design D-2），
  帳號之間的差別是 libraries 權限不是 owner_id；複製一份到帳號上只是多一個會過期的副本。
  #105 真正的教訓是：過濾用的租戶字串要有單一權威來源、解析不到要誠實失敗、且要能機械驗證。

修法：
1. 唯一產地 `cypher-executor/src/lib/tenant.ts`
   - `knowledgeOwner(env)` → branded `TenantId`：`ARCRUN_NAMESPACE` → `CONSOLE_TENANT` →
     丟 `TenantUnresolvedError`。**沒有字面預設值**——`|| 'leo'` 正是把「這台機器沒設定」
     偽裝成「你沒有資料」的元凶。
   - `accountTenant(env)` → 普通 `string`（帳號子 namespace `{tenant}::portal` 與 cypher
     自己寫的設定用它）。**回 string 是刻意的**：型別上就不可能流進知識資料面。
   - 資料面過濾一律經 `ownerQuery()` / `ownerField()`，只吃 `TenantId`。
2. 值的正解由 CLI 從真相源導出：`acr update` 把 config 的 `api_key` 注入成 `ARCRUN_NAMESPACE`，
   但**先驗再寫**（`GET /kbdb/map?owner_id=<api_key>` 查得到庫才寫；查不到／問不到就一個字
   都不動）。無條件覆蓋會把「知識本來就在 CONSOLE_TENANT 底下」的一鍵安裝實例指向空的那一格
   ——那是 #97/#106 那類「更新一次把人家的東西弄不見」，比原本的 bug 更糟。
   未注入時回退 CONSOLE_TENANT ⇒ 對官方 prod 與未更新的實例，這次改動是惰性的。
3. 空地圖分四態（沿 #100「讀不到就說讀不到」）：no_library_grant／filtered_out／
   scope_mismatch／confirmed_empty。scope_mismatch 以前不存在，所以設定錯誤被畫成
   「你沒有資料」。回應仍不含租戶字串（design §3.3 紅線）。
4. 同族一起修（同一道閘一次抓到）：console-dashboard 4 處、console-auth 1 處
   ——console 首頁的規模數字與藏書地圖對 leo 也一直是空的。

留下的閘（規則存在但沒機制驗證＝會再犯第三次）：
  · 型別閘：TenantId 只能由 tenant.ts 產出 → 拿隨手一個 string 去過濾，tsc 當場不給過。
  · 出貨閘：scripts/build-worker-artifacts.mjs 編 tier2 成品前先掃，違規 → 編不出成品。
  · 閘自己可測：規則是純函式（tenant-source-rules.mjs），tests/tenant-gate.test.ts
    逐條驗「5 種壞例子會擋」＋「11 種合法寫法零誤攔」；掃描範圍只有 src/，擋不到自己。
  規範寫入 .claude/rules/02-forbidden.md 第六類、system-dev/wiki/mistakes.md #26。

沒動：庫權限過濾（一字未改，回歸測試釘住）、帳號資料落點、任何金鑰、租戶字串仍不下發前端。

驗證：
  cypher   vitest 441 綠 / 14 紅，14 紅與 base commit e05518a 逐字相同（既有）
           tsc 5 個既有錯誤，零新增
  cli      node:test 60/60 綠（含本次新增 12 條）；tsc 零錯誤
  閘       壞例子實跑 exit 1；build 實跑「建置中止」；乾淨時實跑通過
  端到端   ◐ 未驗：需部署到 leo21c，那道閘要 leo 親手解（見 PR ③）

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
 2026-08-13 00:15:58 +08:00
Leo dcb6ad693b fix(build-worker-artifacts): dirty 判斷排除自己的輸出目錄 
.worker-builds/ 是本腳本的輸出，在成品寫出、commit 之前永遠是 untracked——
拿它判斷「原始碼乾不乾淨」是自己把自己判成髒的假陽性。git status pathspec
排除 .worker-builds 後才是「原始碼有沒有未 commit 變更」的真實訊號。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-11 13:45:33 +08:00
Leo 3b0238bb28 Arcrun#80: 新增 tier2 worker 官方編譯腳本（成品固定位置的地基） 
背景：安裝器（arcrun-rag）過去自己對 Arcrun 原始碼跑 esbuild，導致同一份原始碼在
不同機器編出不同位元組（見 arcrun-rag changelog 1.4.33 段、arcrun-rag#72）：
① esbuild 把入口路徑寫進產物內部註解，該路徑預設相依於執行時 cwd
② 各 worker 目錄用不同套件管理器裝 node_modules，夾帶不同版本間接依賴

本腳本解法：
- absWorkingDir 固定為「本腳本自己算出的 repo 根目錄」，entry 一律用相對路徑餵給
  esbuild——不管 clone 放在磁碟哪個絕對路徑，esbuild 內部產生的相對路徑字串相同
- 不自己跑 install，強制要求呼叫者先用該目錄既有 lockfile 裝好依賴（pnpm frozen /
  npm ci），避免「install 方式不同 → 依賴版本不同 → 位元組不同」
- 每顆 worker 的 manifest entry 自帶 source_commit（該目錄最後改動的 commit），
  答到單顆層級，不是整包一個 source 欄位

涵蓋 5 顆 tier2 worker（與 arcrun-rag bundle-components.mjs CORE_COMPONENTS 對齊）：
cypher-executor / kbdb / http_request / code / mcp。

scripts/ 自帶 package.json + pnpm-lock.yaml 鎖 esbuild 版本（0.24.0）——
工具版本本身也是重現性的輸入之一。

驗證：本地跑通 5/5 build；byte-identical 重現性驗證見後續 commit（兩個獨立 clone
比對 sha256）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-11 13:45:33 +08:00