@actiondock/core 2.5.1 → 2.7.0

package/dist/schema/validator.js

@@ -18,75 +18,36 @@ const validatorCache = new WeakMap();
 /**
  * 递归检查数据中是否包含危险的原型污染属性键名（__proto__、constructor、prototype）。
  */
+import { validateActionInputValue } from "../json/value-validator.js";
+/**
+ * 递归检查数据中是否包含危险的原型污染属性键名（__proto__、constructor、prototype）。
+ * 内部委托 validateActionInputValue 执行迭代遍历，确保环路安全、有向无环图安全且无调用栈溢出风险。
+ */
 export function hasDangerousKeys(data) {
-    if (data === null || typeof data !== "object") {
-        return false;
-    }
-    if (Array.isArray(data)) {
-        for (const item of data) {
-            if (hasDangerousKeys(item))
-                return true;
-        }
-        return false;
-    }
-    const obj = data;
-    const keys = Object.getOwnPropertyNames(obj);
-    for (const key of keys) {
-        if (key === "__proto__" || key === "constructor" || key === "prototype") {
-            return true;
-        }
-        if (hasDangerousKeys(obj[key])) {
-            return true;
-        }
-    }
-    return false;
+    const result = validateActionInputValue(data);
+    return !result.valid && result.kind === "input-policy";
 }
 /**
- * 校验指定数据是否符合给定的 JSON Schema 契约。
+ * 内部纯 Schema 校验器。
+ * 仅处理布尔 Schema 与 Ajv 规则校验，严禁执行 dangerous-key 遍历。
  *
- * 行为与策略约定：
- * 1. 严格契约校验：当 Schema 中定义 additionalProperties: false 时，包含未声明属性的输入将被直接拒绝（返回 valid: false），系统不会静默过滤或篡改用户输入。
- * 2. 危险原型键硬拦截：输入数据或其任意嵌套对象中若出现 __proto__、constructor 或 prototype 键名，即使 Schema 允许亦立即拒绝，彻底杜绝原型污染。
- * 3. 布尔 Schema：false 显式拒绝所有输入；true 或未定义时允许所有合法非污染数据。
- * 4. 无原型对象支持：完全支持 Object.create(null) 创建的无原型对象校验。
- *
- * @param schema 期望匹配的 JSON Schema 对象（未提供或为空对象/true 时默认通过；为 false 时拒绝所有数据）
+ * @param schema 期望匹配的 JSON Schema 对象
  * @param data 待校验的原始数据
  * @returns 包含 valid 状态与错误信息列表的 ValidationResult
  */
-export function validateSchema(schema, data) {
-    // 1. 布尔 Schema 支持：false 拒绝一切输入；true/undefined 允许一切输入
+export function validateSchemaOnly(schema, data) {
     if (schema === false) {
         return {
             valid: false,
             errors: ["Schema is false, rejecting all data"],
         };
     }
-    if (schema === true || !schema) {
-        if (hasDangerousKeys(data)) {
-            return {
-                valid: false,
-                errors: ["Data contains prohibited prototype pollution keys (__proto__, constructor, or prototype)"],
-            };
-        }
+    if (schema === true ||
+        !schema ||
+        typeof schema !== "object" ||
+        Object.keys(schema).length === 0) {
         return { valid: true };
     }
-    if (typeof schema !== "object" || Object.keys(schema).length === 0) {
-        if (hasDangerousKeys(data)) {
-            return {
-                valid: false,
-                errors: ["Data contains prohibited prototype pollution keys (__proto__, constructor, or prototype)"],
-            };
-        }
-        return { valid: true };
-    }
-    // 2. 危险原型键拦截
-    if (hasDangerousKeys(data)) {
-        return {
-            valid: false,
-            errors: ["Data contains prohibited prototype pollution keys (__proto__, constructor, or prototype)"],
-        };
-    }
     try {
         let validate = validatorCache.get(schema);
         if (!validate) {
@@ -120,3 +81,36 @@ export function validateSchema(schema, data) {
         };
     }
 }
+/**
+ * 校验指定数据是否符合给定的 JSON Schema 契约。
+ *
+ * 行为与策略约定：
+ * 1. 严格契约校验：当 Schema 中定义 additionalProperties: false 时，包含未声明属性的输入将被直接拒绝（返回 valid: false），系统不会静默过滤或篡改用户输入。
+ * 2. 危险原型键硬拦截：输入数据或其任意嵌套对象中若出现 __proto__、constructor 或 prototype 键名，即使 Schema 允许亦立即拒绝，彻底杜绝原型污染。
+ * 3. 布尔 Schema：false 显式拒绝所有输入；true 或未定义时允许所有合法非污染数据。
+ * 4. 无原型对象支持：完全支持 Object.create(null) 创建的无原型对象校验。
+ *
+ * @param schema 期望匹配的 JSON Schema 对象（未提供或为空对象/true 时默认通过；为 false 时拒绝所有数据）
+ * @param data 待校验的原始数据
+ * @returns 包含 valid 状态与错误信息列表的 ValidationResult
+ */
+export function validateSchema(schema, data) {
+    // 1. 布尔 Schema 支持：false 拒绝一切输入
+    if (schema === false) {
+        return {
+            valid: false,
+            errors: ["Schema is false, rejecting all data"],
+        };
+    }
+    // 2. 危险原型键拦截（保持历史兼容，包含 schema 为 true / undefined / {} 的场景）
+    if (hasDangerousKeys(data)) {
+        return {
+            valid: false,
+            errors: [
+                "Data contains prohibited prototype pollution keys (__proto__, constructor, or prototype)",
+            ],
+        };
+    }
+    // 3. 委托纯 Schema 校验器处理其余规则校验
+    return validateSchemaOnly(schema, data);
+}

package/dist/server/dispatcher.d.ts

@@ -4,6 +4,8 @@
 export type FetchDispatcherProvider = () => unknown;
 /**
  * 注册全局用于忽略服务端证书校验的调度器提供者。
+ * 唯一注册通道：平台适配层（如 @actiondock/runtime-node 的
+ * installInsecureDispatcher）显式调用完成注册，不再读取全局符号注入。
  */
 export declare function setInsecureDispatcherProvider(provider?: FetchDispatcherProvider): void;
 /**
@@ -13,12 +15,15 @@ export declare function getInsecureDispatcherProvider(): FetchDispatcherProvider
 /**
  * 获取用于忽略服务端证书校验的调度器实例。
  * 纯粹解耦设计：
- * 1. 优先调用显式注册的提供者（如由 @actiondock/runtime-node 注册）；
- * 2. 检查全局符号注入的提供者；
- * 3. 若在 Node 环境下且前述未注入，安全动态加载兜底连接池，绝不让 core 包产生静态硬编译依赖。
+ * 1. 优先调用显式注册的提供者（如由 @actiondock/runtime-node 显式安装）；
+ * 2. 若在 Node 环境下且无注册提供者，动态加载 @actiondock/runtime-node
+ *    （其入口聚合点会显式完成安装），绝不让 core 包产生静态硬编译依赖；
+ * 3. 仍不可得时返回 undefined，由调用方回退默认 fetch，绝不在 core 内
+ *    直接探测加载 undici，避免与平台适配层形成层次倒置与隐藏依赖环。
  */
 export declare function getInsecureDispatcher(): unknown;
 /**
  * 显式强制重置并销毁调度器连接池（仅用于单元测试重置或进程退出）。
+ * core 自身不再持有任何兜底连接池，关闭语义完全委托已注册的平台提供者宿主。
  */
 export declare function closeInsecureDispatcher(): Promise<void>;

package/dist/server/dispatcher.js

@@ -1,8 +1,9 @@
 import { createRequire } from "node:module";
 let insecureDispatcherProvider;
-let fallbackInsecureAgent;
 /**
  * 注册全局用于忽略服务端证书校验的调度器提供者。
+ * 唯一注册通道：平台适配层（如 @actiondock/runtime-node 的
+ * installInsecureDispatcher）显式调用完成注册，不再读取全局符号注入。
  */
 export function setInsecureDispatcherProvider(provider) {
     insecureDispatcherProvider = provider;
@@ -16,18 +17,16 @@ export function getInsecureDispatcherProvider() {
 /**
  * 获取用于忽略服务端证书校验的调度器实例。
  * 纯粹解耦设计：
- * 1. 优先调用显式注册的提供者（如由 @actiondock/runtime-node 注册）；
- * 2. 检查全局符号注入的提供者；
- * 3. 若在 Node 环境下且前述未注入，安全动态加载兜底连接池，绝不让 core 包产生静态硬编译依赖。
+ * 1. 优先调用显式注册的提供者（如由 @actiondock/runtime-node 显式安装）；
+ * 2. 若在 Node 环境下且无注册提供者，动态加载 @actiondock/runtime-node
+ *    （其入口聚合点会显式完成安装），绝不让 core 包产生静态硬编译依赖；
+ * 3. 仍不可得时返回 undefined，由调用方回退默认 fetch，绝不在 core 内
+ *    直接探测加载 undici，避免与平台适配层形成层次倒置与隐藏依赖环。
  */
 export function getInsecureDispatcher() {
     if (insecureDispatcherProvider) {
         return insecureDispatcherProvider();
     }
-    const globalProvider = globalThis[Symbol.for("actiondock.insecureDispatcherProvider")];
-    if (typeof globalProvider === "function") {
-        return globalProvider();
-    }
     if (typeof process !== "undefined" && process.versions?.node) {
         try {
             const req = createRequire(import.meta.url);
@@ -39,48 +38,25 @@ export function getInsecureDispatcher() {
         catch {
             // 忽略未安装 @actiondock/runtime-node 的情况
         }
-        if (!fallbackInsecureAgent || fallbackInsecureAgent.closed || fallbackInsecureAgent.destroyed) {
-            try {
-                const req = createRequire(import.meta.url);
-                const undici = req("undici");
-                if (undici?.Agent) {
-                    fallbackInsecureAgent = new undici.Agent({
-                        connect: {
-                            rejectUnauthorized: false,
-                        },
-                        bodyTimeout: 0,
-                    });
-                }
-            }
-            catch {
-                // 忽略非 Node 环境或未安装 undici 的异常
-            }
-        }
-        return fallbackInsecureAgent;
     }
     return undefined;
 }
 /**
  * 显式强制重置并销毁调度器连接池（仅用于单元测试重置或进程退出）。
+ * core 自身不再持有任何兜底连接池，关闭语义完全委托已注册的平台提供者宿主。
  */
 export async function closeInsecureDispatcher() {
-    const globalClose = globalThis[Symbol.for("actiondock.closeInsecureDispatcher")];
-    if (typeof globalClose === "function") {
-        try {
-            await globalClose();
-        }
-        catch {
-            // 忽略关闭异常
-        }
-    }
-    if (fallbackInsecureAgent) {
-        const agent = fallbackInsecureAgent;
-        fallbackInsecureAgent = undefined;
+    if (insecureDispatcherProvider) {
+        // 提供者由平台层注册：优先委托提供者宿主的关闭语义（如可用）
         try {
-            await agent.close();
+            const req = createRequire(import.meta.url);
+            const runtimeNode = req("@actiondock/runtime-node");
+            if (typeof runtimeNode?.closeInsecureDispatcher === "function") {
+                await runtimeNode.closeInsecureDispatcher();
+            }
         }
         catch {
-            // 忽略关闭异常
+            // 忽略未安装 @actiondock/runtime-node 的情况
         }
     }
 }

package/dist/server/routes/runs.js

@@ -49,12 +49,11 @@ export async function handleRunsRoutes(ctx) {
                 }
                 if (app.storage && typeof app.storage.listRuns === "function") {
                     try {
-                        const records = app.storage.listRuns({ actionId, limit });
+                        // 状态过滤下推到存储层 SQL，避免先分页后过滤导致某包前 N 条非目标状态时贡献 0 条
+                        const records = app.storage.listRuns({ actionId, status, limit });
                         for (const r of records) {
                             if (!seenRunIds.has(r.id)) {
                                 seenRunIds.add(r.id);
-                                if (status && r.status !== status)
-                                    continue;
                                 if (options.packageAllowlist &&
                                     options.packageAllowlist.length > 0 &&
                                     r.packageId &&
@@ -65,7 +64,10 @@ export async function handleRunsRoutes(ctx) {
                             }
                         }
                     }
-                    catch { }
+                    catch (err) {
+                        // 单包查询失败不阻断整体列表响应，但必须可观测
+                        console.warn(`[actiondock] listRuns failed for package '${app.packageId}': ${err instanceof Error ? err.message : String(err)}`);
+                    }
                 }
             }
             allRuns.sort((a, b) => (b.startedAt || "").localeCompare(a.startedAt || ""));

package/dist/server/security.d.ts

@@ -1,3 +1,4 @@
+export { isLoopbackHost } from "../utils/net.js";
 /**
  * 恒定时间字符串比较（Constant-time comparison）。
  * 使用底层的 `crypto.timingSafeEqual` 防范时序攻击（Timing Attack）。
@@ -7,13 +8,6 @@
  * @returns 两个字符串内容是否完全一致
  */
 export declare function safeEqual(a: string, b: string): boolean;
-/**
- * 检查指定的主机地址是否为本地回环接口（Loopback Host）。
- * 支持 127.0.0.1, localhost, ::1 等形式。
- *
- * @param host 主机名或 IP 字符串
- */
-export declare function isLoopbackHost(host: string): boolean;
 /**
  * 校验 HTTP 请求中的鉴权令牌选项。
  */

package/dist/server/security.js

@@ -1,4 +1,6 @@
 import { timingSafeEqual } from "node:crypto";
+// isLoopbackHost 已上移至 utils/net.ts（通用谓词单一事实源），此处仅保留 re-export 兼容旧引用路径
+export { isLoopbackHost } from "../utils/net.js";
 /**
  * 恒定时间字符串比较（Constant-time comparison）。
  * 使用底层的 `crypto.timingSafeEqual` 防范时序攻击（Timing Attack）。
@@ -15,19 +17,6 @@ export function safeEqual(a, b) {
     }
     return timingSafeEqual(aa, bb);
 }
-/**
- * 检查指定的主机地址是否为本地回环接口（Loopback Host）。
- * 支持 127.0.0.1, localhost, ::1 等形式。
- *
- * @param host 主机名或 IP 字符串
- */
-export function isLoopbackHost(host) {
-    const trimmed = host.trim().toLowerCase().replace(/^\[|\]$/g, "");
-    return (trimmed === "127.0.0.1" ||
-        trimmed === "::1" ||
-        trimmed === "localhost" ||
-        trimmed === "0:0:0:0:0:0:0:1");
-}
 /**
  * 校验 HTTP 请求中的鉴权令牌是否有效。
  *

package/dist/storage/clock.d.ts

@@ -0,0 +1,25 @@
+/**
+ * 统一时间与时钟基础契约。
+ *
+ * 单一事实源：Clock 接口与 SystemClock 实现定义于此，runtime/clock.ts 与
+ * storage/types.ts 一律从本文件引用或转发，禁止重复实现。
+ */
+/**
+ * 统一时间与时钟接口。
+ */
+export interface Clock {
+    /** 获取当前系统墙上时间 */
+    now(): Date;
+    /** 获取单调递增时间戳（单位：毫秒） */
+    monotonic(): number;
+    /** 异步休眠指定毫秒 */
+    sleep(ms: number): Promise<void>;
+}
+/**
+ * 生产环境系统时钟实现。
+ */
+export declare class SystemClock implements Clock {
+    now(): Date;
+    monotonic(): number;
+    sleep(ms: number): Promise<void>;
+}

package/dist/storage/clock.js

@@ -0,0 +1,23 @@
+/**
+ * 统一时间与时钟基础契约。
+ *
+ * 单一事实源：Clock 接口与 SystemClock 实现定义于此，runtime/clock.ts 与
+ * storage/types.ts 一律从本文件引用或转发，禁止重复实现。
+ */
+/**
+ * 生产环境系统时钟实现。
+ */
+export class SystemClock {
+    now() {
+        return new Date();
+    }
+    monotonic() {
+        if (typeof performance !== "undefined" && typeof performance.now === "function") {
+            return performance.now();
+        }
+        return Date.now();
+    }
+    sleep(ms) {
+        return new Promise((resolve) => setTimeout(resolve, ms));
+    }
+}

package/dist/storage/data-dir-lock.d.ts

@@ -1,3 +1,4 @@
+import { cleanStaleQuarantines, isProcessAlive, parseQuarantineTimestamp, safeRemoveStaleReclaimGuard, safeRollbackLock } from "./lock-core.js";
 /**
  * 数据目录排他锁元数据契约。
  */
@@ -17,41 +18,7 @@ export interface DataDirLockInfo {
     /** 宿主会话标识 */
     hostSessionId?: string;
 }
-/**
- * 检查目标进程是否处于存活状态。
- *
- * @param pid 待检测的进程标识符
- */
-export declare function isProcessAlive(pid: number): boolean;
-/**
- * 安全清理陈旧接管守卫（reclaim guard）。
- * 采用原子重命名检疫并严格核对 guardToken 与持有者存活状态，确保仅删除目标陈旧 guard，严禁误删活跃守卫或并发新守卫。
- *
- * @param reclaimPath 目标守卫路径
- * @param expectedGuardToken 预期持有的守卫令牌（必填，拒绝未指定令牌的盲目清理）
- */
-export declare function safeRemoveStaleReclaimGuard(reclaimPath: string, expectedGuardToken: string): void;
-/**
- * 从隔离或回滚临时目录名称中解析操作者 PID 与隔离生成时间戳。
- * 命名规范：*.(quarantine|rollback|release).<pid>.<timestamp>.<uuid>
- */
-export declare function parseQuarantineTimestamp(entryName: string): {
-    operatorPid?: number;
-    timestamp?: number;
-};
-/**
- * 清理过期的隔离目录（GC 回收机制）。
- * 实施分流存活校验，防止误删活跃持锁者与回滚中目录，同时防止孤儿目录无限泄漏：
- * - 共同前置条件：存活年龄必须超过 maxAgeMs（默认 10000ms），未超期前严禁清理（保持宽限期）。
- * - 活跃隔离目录（quarantine / rollback / release）：若 operatorPid 存活或内部 metadata.json 记录的 pid 与 childPids 存活，跳过不予清理。
- * - 孤儿脱离目录（orphan）：内部旧 metadata.pid 不再作为续命依据；提取其内部 orphanToken，仅当当前规范主路径（主锁目录与 reclaim 目录）依然持有该凭证时保守跳过；规范路径不存在或已变更凭据时直接安全清理。
- */
-export declare function cleanStaleQuarantines(parentDir: string, basePrefix: string, maxAgeMs?: number, deadline?: number): void;
-/**
- * 安全回滚当前进程创建的主锁。
- * 优先核对 lockToken，回退核对 sessionToken，防止误删接管者或并发新锁。
- */
-export declare function safeRollbackLock(lockPath: string, expectedSessionToken: string, expectedLockToken?: string): void;
+export { isProcessAlive, parseQuarantineTimestamp, cleanStaleQuarantines, safeRemoveStaleReclaimGuard, safeRollbackLock, };
 /**
  * 安全释放主锁。
  * 仅当锁目录中持有当前 lockToken / sessionToken 时才删除，杜绝删除他人新锁。
@@ -95,7 +62,7 @@ export declare class DataDirLock {
     /**
      * 尝试获取指定数据目录的排他锁。
      *
-     * 仲裁规则：
+     * 仲裁规则由目录锁内核（lock-core）统一承载：
      * - 引入所有竞争者均遵守的原子 reclaim guard 机制（lockDirPath.reclaim），每个 guard 具备全局唯一 guardToken。
      * - 基于原子目录创建 mkdirSync(lockDirPath, { mode: 0o700 }) 确立所有权，并在其下存放 metadata.json。
      * - 兼容已有常规文件锁（如老版本或测试 mock 场景）。