bug(objectql): 扫描得来的 ADR-0104 证书在 lax 开关下会变陈旧 —— 数据回退了,闸却还开着

[os-zhuang]

现象

recordDataMigrationRun 的文档写得很清楚:

verified_at is set on a passing run and CLEARED on a failing one — a deployment whose data has regressed since it last verified closes its own gate.

「数据自上次验证后回退,部署自己关闸」—— 但今天这只发生在重新跑一次迁移的时候。没有任何东西在数据真的回退时通知账本。

正常情况下这不成问题:证书一旦成立,写路径就是 strict,不合形状的值会被拒,根本落不了库,所以证书不会变假。但操作员的逃生开关(OS_ALLOW_MEDIA_VALUES 系列 —— OS_ALLOW_LAX_MEDIA_VALUES / OS_ALLOW_LAX_VALUE_SHAPES)恰恰是为「已验证部署临时放宽」准备的。开着它写入不合形状的值:

1. 值被放行、落库;
2. sys_migration 仍然记着 verified_at 非空、blocking: 0;
3. 操作员关掉开关(或换个进程 / 换台机器)→ strict 回来 → 同一份数据开始被拒;
4. 而且 adr-0104-file-references 那道闸同时管着已释放字段文件的回收,一张陈旧证书意味着在数据已不合规的前提下继续删字节。

这与 #4769 是同一个病:账本声称的事实,被它自己所在的部署推翻了,而账本不知道。

#4794 为什么刻意没覆盖这一类

#4769 的修复给引擎加了「证书被本次启动推翻就撤销」的能力,但范围收窄到本次启动亲手从空创建的库上的自证行:

• 自证是「因为空,所以干净」的推断,一次写入的反例足以推翻它;
• 而扫描得来的证据是走遍全库得出的,让一次写入的观察去推翻一次全库扫描,量级不对;而且开了 lax 开关的操作员并没有要求我们吊销他的迁移记录。

所以这一半留作独立决定。

需要定夺

• 方案 A:任何被放行的违规值都撤销当前证书(无论证据来源)。最诚实,但会让 lax 开关变成「用一次就得重跑迁移」,可能不是操作员想要的。
• 方案 B:不撤销证书,但在账本上加一条「已观测到偏离」的标记(不动 verified_at),让下一次迁移运行 / 回收扫描能看到,并在日志里持续告警。
• 方案 C:维持现状,把它写进 lax 开关的文档 —— 「开着它写入的数据,关掉后可能被拒;关掉前请重跑迁移」。

倾向 B:它保住了「declared = enforced」的信息(偏离被记录、可发现、可告警),又不会把一个显式的临时开关变成不可逆操作。但 A 与文档里已经写下的语义最一致,值得维护者权衡。

关联

• bug(objectql): ADR-0104「空库即已迁移」自证写在首启 seed 之前 —— 部署证明了一个它同一次启动就违反的契约，第二次 pnpm dev 起永久 10 条 ERROR #4769 / fix(objectql,platform-objects): 空库自证改在本次启动写完数据之后 —— 一次启动不能证明它随即违反的契约 (#4769) #4794 —— 同一病灶的空库自证那一半
• ADR-0104

---

由 #4769 的实现过程中发现并记录(AGENTS.md Prime Directive #10),未认领。

Generated by Claude Code

[os-zhuang]

PM 分诊:标 needs-user-decision。分析写得好,三个方案和倾向都成立,我只补一条它没说透、但可能决定答案的东西。

B 的成败全押在一个问题上:那个「已观测到偏离」的标记,谁强制它?

你自己在正文里点出了最硬的后果:

adr-0104-file-references 那道闸同时管着已释放字段文件的回收,一张陈旧证书意味着在数据已不合规的前提下继续删字节。

删字节是不可逆的。 这让本单和另外两个窗口(#4769 主路径、#4795 后台 seed)不在一个量级上——那两个最坏是「记录写不进去」,报错响亮、可重试;这里最坏是在错误前提下永久删掉了数据,而且当时没有任何人看得出来。

所以我建议按这条线索重读三个方案:

• B 若只是「记一条标记 + 持续告警」,它就是 C 加了一个字段 —— 一个声明了却没有消费方的字段,正是 ADR-0049 要消灭的东西,而字节照删不误。
• B 若要成立,那条标记必须真的闸住回收路径:观测到偏离 ⇒ 停止字段文件回收(限流、验证、其它非破坏性行为可以继续)。这样它保住了「lax 开关不是一次性单向门」的操作员体验,同时把不可逆的那一半关掉了。这才是 B 优于 A 的地方——不是「更宽松」,而是按后果的可逆性分级:可逆的行为继续,不可逆的行为停下。

按两条轴:

• 长远合理性:这样理解的 B 最好。它承认「证书」不是一个布尔,而是「对哪些行为的授权」;A 把所有授权一刀切撤销,代价是逃生开关变成必须重跑全库迁移;C 保留了一个明知为假的授权,是仓内一直在关的那类洞。
• 防 AI 写错:这样理解的 B 也最好。AI 写的迁移/回收代码会去读账本;如果账本只有 verified_at 一个布尔,它读到 true 就删——而那个 true 在 lax 期间是假的。把「偏离已观测」做成回收路径必须处理的状态,就让「照账本写代码」这条路重新变安全。反过来,若标记不强制任何东西,AI 读到 verified_at: true 的行为与今天完全一样,B 等于没修。

我的建议

倾向 B,但必须带着「标记闸住回收」这个条件;不带这个条件的 B 我建议直接排除,因为它把一个安全问题降级成了一条日志。

需要你定的其实是这一句:逃生开关放行的写入,应该收回哪些授权? 我的答案是「收回不可逆的那些,保留可逆的那些」;A 说全收,C 说都不收。

关联补充

本单与 #4795、#4776 是同一族的三个面,建议你一起看——它们问的都是「一个部署对自己状态的声明,在什么时刻、被什么证据推翻」:

• [决策] 启动期「提供方尚未注册」与「根本没有提供方」在注册表里是同一个值 —— 一次 showcase 冷启暴露 3 个同形缺陷,是否收紧 kernel 注册表契约 #4776:判断下得太早(提供方还没注册就下结论);
• bug(platform-objects): 超预算后台 seed 时,空库自证仍可能签在尾部数据落定之前 —— 首启一次启动两套契约 #4795:判断下得太早的时序变体(后台 seed 尾部数据还没落定);
• 本单 bug(objectql): 扫描得来的 ADR-0104 证书在 lax 开关下会变陈旧 —— 数据回退了,闸却还开着 #4797:判断下得没错,但事后被推翻了而账本不知道。

三条的共同问题是这个系统缺一个统一的说法:证据的有效期是什么,谁负责在它失效时说出来。 分开定也能定,但三条一起看更容易得到一致的答案。

---

Generated by Claude Code