Leo/Arcrun
1
0
Fork 0
Code Issues 49 Pull Requests 5 Actions Packages Projects Releases Wiki Activity
144 Commits 27 Branches 0 Tags
35a769fc885ebedb1f81eb4d1ffa272dccc87da5
Commit Graph

9 Commits

Author SHA1 Message Date
Leo 621cb8d948 feat(cli): code 零件接進 acr init/update 部署流程（自足 Worker 進部署清單 + vendored wasm 進 repo） 
動機（Arcrun#4 後續，leo 批准）：code 零件只有原始碼（registry/components/code），
downloadAndDeploy 完全沒涵蓋它——tier1 只掃 .component-builds/*（TinyGo 家族，要求
component.wasm），tier2 寫死四個引擎。merge 後用戶跑 acr update 應真的裝上 code。

接法（實查後裁定）：
- code 是自足 Worker（quickjs-emscripten wasmfile variant，非 TinyGo；見其 index.ts 頭註），
  「缺 wasm」的真相是「這一類根本不在部署清單」+「vendored quickjs.wasm 是 gitignored
  build 產物、不進 archive」。
- deploy.ts 新增 SELF_CONTAINED_COMPONENT_WORKERS（目錄 + 必要產物 gate，比照 tier1
  component.wasm gate 的誠實跳過精神），discoverWorkerDirs 將其排進 tier1（零件先於引擎）。
- vendored quickjs.wasm（491KB）commit 進 repo：.gitignore 放行（完全比照
  !.component-builds/**/component.wasm 的「部署物 wasm 例外」先例）→ acr update 從
  Gitea archive 直接拿到，更新不需 npm build 工具鏈。
- 共享依賴抽成 SHARED_DEPLOY_DEPS 並補 quickjs-emscripten-core + wasmfile variant
  （版本對齊零件 package.json，測試看守 drift）→ root 裝一次、esbuild 往上 resolve。
- 注入零改動：既有 stripOfficialOnlyBindings 剝掉 code.arcrun.dev 官方 route、
  workers_dev=true 保留 → self-hosted 自動落 arcrun-code.<sub>.workers.dev。
- parts.ts BUILTIN_COMPONENTS 加 code 條目（issue #13 W3：零件=靜態清單）→ acr parts 可見。
  實查：init 本來就不對 registry 註冊任何零件（registry index 是官方 backfill 腳本的事），
  故「比照其他零件」＝進 BUILTIN_COMPONENTS 即對齊。

測試：cli/tests/deploy-code-component.test.ts 9 顆全綠（node --test，零新依賴）：
部署清單含 code / 缺產物誠實跳過 / wasm 已 git 追蹤（會進 archive）/ SHARED_DEPLOY_DEPS
涵蓋零件全部 runtime deps + 版本一致 / route 剝除與 [vars] 保留 / parts 清單含 code。
tsc --noEmit 綠；零件自身 12 顆 vitest 綠（沙箱行為未動）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk
 2026-07-07 09:01:11 +00:00
Leo 08a79229a5 fix(code): Workers 實部署修正 —— wasmfile+Module 載入 + tick-budget timeout（CF 實測） 
leo21c 實部署發現兩個 CF 限制並修正：
1. CF 禁 runtime 從 bytes 編譯 wasm（WebAssembly.instantiate(bytes) 被 embedder 擋）
   → singlefile(base64) 內嵌不可用。改 wasmfile variant + `import wasm from './vendor/quickjs.wasm'`
   （wrangler CompiledWasm rule 綁成預編 WebAssembly.Module），newVariant({wasmModule}) 注入。
   sandbox 改 variant 注入制（setVariant）：Worker 注 wrangler Module、Node 由 bytes 建 Module，
   同一 production 路徑受測。vendor/quickjs.wasm 由 postinstall 自 node_modules 複製（gitignored）。
2. CF 凍結同步執行期 Date.now → wall-clock deadline 對純同步迴圈失效（撞 CF CPU 回 1102）。
   改指令計數 interrupt（max_ticks，CF-safe），wall-clock 留 Node 保護。校準：cadence≈5000
   指令/tick、真實 card 解析≈4 ticks、CF 門檻≈1000+ ticks → 預設 max_ticks=500。
   有 body 的迴圈（含 100M 迴圈）皆乾淨回 TimeoutError；空體 while(true){} 仍由 CF CPU guard 容納。

Worker live: arcrun-code.leo21c.workers.dev（cypher-executor 以此 workers.dev 慣例位址呼叫）。
Node 單測 12/12 綠（wasmfile variant + 注入 Module，同 production 路徑）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HJiLCRUU2o3aSpPEzVCt2o
 2026-07-06 05:15:50 +00:00
Leo 1a7b4639c3 docs(code): DESIGN.md 更新為「裁定 A、Workers 就緒」的最終狀態 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HJiLCRUU2o3aSpPEzVCt2o
 2026-07-06 04:51:39 +00:00
Leo efa0b0578c feat(code): Workers 就緒化（裁定 A）—— singlefile variant + 純 JS SHA-256 prelude 
- 沙箱改用 quickjs-emscripten singlefile variant（wasm 內嵌 base64、同步載入），
  CF Workers 相容；sandbox.mjs 成 Node/Worker 共用 runtime-agnostic 核心。
- sha256 curated builtin 改「純 JS SHA-256 prelude 字串注入」，去掉 node:crypto /
  async Web Crypto host-call，Node/Worker 皆決定性（card content_hash 逐字等價）。
- index.ts 成可部署 Worker host（Hono，POST /→runCode），自足不走 TinyGo 模板流程。
- 補 wrangler.toml（arcrun-code / code.arcrun.dev）、tsconfig、DEPLOY.md。
- contract stability 修為 floating（過 registry zod schema 驗證）。
- 單測 12/12 全綠（含 card→envelope 與原模組 planCard 逐欄全等）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HJiLCRUU2o3aSpPEzVCt2o
 2026-07-06 04:39:28 +00:00
Leo 60f5f10ba5 feat(code): 新增通用 code 零件（sandbox inline JS）—— Arcrun#10 設計+PoC 
n8n Code node 式逃生口：config 帶 inline JS、stdin 帶 input JSON、
stdout 回 {success,data}|{success:false,error,error_type}。

沙箱＝QuickJS-wasm：user JS 跑在 QuickJS context，global 只有純 ECMAScript
內建 + 唯一 curated builtin sha256（純函式）；碰不到網路/檔案/env/secret/
Worker 物件圖。資源上限：timeout(interrupt)/memory/stack/output/code size。

本輪＝設計+PoC，未部署 leo21c。sandbox.mjs + test/ 為 Node/vitest 可跑實作
（12 測試全綠，含 card→envelope 與原模組 planCard 逐欄全等）。index.ts 為
Worker host 骨架、DESIGN.md 記錄機制/安全性質/生產路徑/設計岔路(A/B)。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HJiLCRUU2o3aSpPEzVCt2o
 2026-07-06 04:27:15 +00:00
uncle6me-web ed2e42e007 feat(credentials): T6 讀取/注入接新家 + T7 雙讀 fallback (credential-store-migration 方案 A) 
D19「擁有目錄不擁有內容物」遷移的讀取斷點。密文住 cypher per-script secrets、
D1 只存 secret_ref、auth worker 讀不到 cypher 的 secrets → cypher 先取值塞 payload。

WASM 端(T7 fallback 骨架，零行為改變可獨立部署驗):
- auth_static_key/main.go + auth_service_account/main.go：Input 加 resolved_secrets，
  解密處改「有 resolved 就用、沒有才 fallback 舊 kv_get+crypto_decrypt」。default 等於舊碼。
- tinygo build 兩支通過，copy 到 .component-builds/*/component.wasm。

TS 端(T6 主路徑):
- auth-dispatcher.ts 新增 resolveSecretsFromNewHome：查 D1 拿 secret_ref →
  secret_get(env[ref], T4) 取明文 → 組 map(取不到的 name 缺席，不放空字串) →
  更新 last_used_at。tryAuthDispatch + resolveCredentialRefs 都塞 resolved_secrets。
- rule 02 §2.2 對齊：只查 ref/取值/塞字串，不解密不展開模板不組 JWT。

驗證：cypher-executor + cli tsc exit 0；vitest 41/42(新增 auth-dispatcher.test.ts 6 案例全過，
剩 1 pre-existing 無關失敗)。待 leo21c 部署驗 WASM 端到端(不由本任務部署，acr update
硬綁 GitHub codeload=mistakes #23)。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
 2026-07-05 13:44:26 +08:00
uncle6me-web da84425d25 feat(credential-injection): {{credential.X}} 用戶面語法（credential-primitives §8） 
壓測 401 根因：{{credential.X}} 系統沒實裝，三條 template 展開路徑都不認
credential. namespace → 注入空值 → 目標 API 401（test_arcrun/5 Haiku 實證）。

修法（design §8，richblack 確認方向 B「讓 {{credential.X}} 真的能用」）：
- auth_static_key 加 resolve_credentials action：給 names → WASM 內 kv_get +
  crypto_decrypt → 回明文 map（不查 recipe、缺則誠實報錯）
- auth-dispatcher 加 resolveCredentialRefs：遞迴偵測 {{credential.X}} → 交 WASM
  解密 → 回填（無 ref 則零開銷不打 WASM）
- graph-executor 在 node.data interpolate 後呼叫，不碰 ENCRYPTION_KEY（rule 02 §2.2）

解密全程在 WASM，TS 只偵測+回填。tinygo build OK + tsc 0 + §2.2 自檢綠。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-10 13:55:31 +08:00
uncle6me-web 465c505000 fix(execution-truth): 修系統對 401 假綠根因 + acr run self-hosted + D1-in-update 
Haiku 自主壓測（test_arcrun/5）暴露的真 bug，逐一修復：

1. 假綠根因：http_request host function 丟掉 HTTP status code（main.go:112 架構債）
   → 非 2xx（如 Notion 401）被判 success → 引擎自己對失敗報成功。
   修：host fn 非 2xx 回 {error,status,body} envelope，既有判定鏈正確識別。
   http_request/claude_api/kbdb_upsert_block/km_writer 已修（4 worker deploy）；
   auth_service_account 自有 OAuth 判定不套。

2. acr run self-hosted：原一律走 /webhooks/<name>（需先 push）→ 沒 push 回 404 純文字
   → res.json() 爆假錯誤。修：本機有 YAML 走玩法一 /cypher/execute 直接執行（三模式一致）
   + res.ok 擋非 2xx + findWorkflowYaml 容忍 .yaml 副檔名。

3. D1-in-update：D1 只在 init 建一次，update 漏建 → token 補權限後無冪等補建路徑。
   修：update 也 ensureD1Database（已驗證 D1 建起 count:1）。

4. CF token 教學漏 D1：llms.txt/.env.example 加「Account/D1/Edit」必勾 + init/preflight
   訊息指明 token 缺 D1 權限的修法。

CLI 1.3.4 publish。Haiku 壓測結論：onboarding 治好（裝+init 沒跳過、建 recipe 不建零件），
但仍會假綠（curl 繞過/D1 沒建謊報）→ 印證執行真相要系統能驗、不信 AI 自報。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-09 22:12:09 +08:00
uncle6me-web 922a57fe34 arcrun — AI workflow execution engine (clean history) 
Self-hosted 開源：WASM 零件 + recipe + cypher-executor，跑在你自己的 Cloudflare。

此為重建的乾淨歷史起點（移除曾誤 commit 的 GCP SA 金鑰，舊歷史保留在
richblack/arcrun 與本地 backup 分支）。含：
- acr init --self-hosted installer（建 KV/R2 + codeload 拉預編譯 wasm + wrangler deploy + seed recipe）
- recipe push 把關（資料外流提醒 + 打通檢查）
- 19 個正當零件預編譯 wasm（claude_api/km_writer/kbdb_upsert_block 排除：違反 DECISIONS §1）
- CLI / cypher-executor / registry / 完整 SDD

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-06-03 15:52:38 +08:00