@casecore/release-agent 0.1.1 → 0.1.2

package/README.md

@@ -61,19 +61,42 @@ UUID исходной попытки доставки и UUID команды Cas
 `reconcile(commandId)` вызывает подключённый
 `provider.reconcilePublicationFailure(command, { signal, delivery, recoveryDeadlineAt })`.
 Адаптер возвращает `null` при неопределённом результате либо удерживаемый guard:
-`{ fact, assertOwned(), release({ resolved, proofDigest }) }`.
+`{ fact, baselineReadback, assertOwned(), release({ resolved, proofDigest }) }`.
 `fact` содержит ровно `schema: 1`, `kind: 'failed_before_installation'`,
 `commandId`, `installationKey`, `expectedSource`, исходный `delivery`, свежий
 `observedAt`, `stage: source_ready | ci | build | verify | publish`,
 `authenticated: true`, `executionStopped: true`, `pendingTransaction: false`,
 `publicationResolved: true`, `installationNotStarted: true`.
 
+`baselineReadback` использует существующий формат `ProductionReadback` и
+подтверждает предыдущую рабочую установку под тем же удерживаемым guard.
+Её точная идентичность обязана совпадать с baseline, сохранённым при принятии
+исходной команды. Требуются правильная установка, `source: independent-production`,
+успешный functional smoke с тем же source commit и ссылкой на доказательство.
+`observedAt` и `functionalSmoke.checkedAt` не предшествуют исходному T0,
+не находятся в будущем и отстают от завершения не более чем на 300 секунд.
+Отсутствующий baseline, readback или несовпадение оставляют восстановление pending.
+
 Адаптер подтверждает фактическую остановку исполнителя и его дочерних/удалённых
 операций, исходную идентичность и отсутствие незавершённой установки через
 существующие журналы и механизмы владения продукта. Он удерживает исключение
 конкурирующих действий до сохранения pending-доказательства и подтверждения
 его durable-завершения в `release({ resolved: true, proofDigest })`.
-`proofDigest` имеет вид `sha256:<hex>` и вычисляется движком из `fact`.
+До ACK движок сохраняет точные `fact` и `baselineReadback` в защищённом pending-журнале,
+а readback — в существующем `run.readback`; статус остаётся `blocked`,
+`recoveryState: unverified`, `completedAt: null`.
+Адаптер вычисляет ожидаемый ACK digest общей функцией
+`publicationFailureProofDigest(fact, baselineReadback)` из `@casecore/release-agent`
+или `@casecore/release-agent/producer`. Движок использует ту же функцию;
+копировать реализацию хеша в адаптер не нужно. Функция вычисляет digest,
+а доверенность доказательств и владение проверяются отдельно.
+`proofDigest` связывает оба значения: `sha256:${hash(canonical({ fact, baselineReadback }))}`.
+Здесь `canonical` сортирует ключи верхнего уровня объекта через `localeCompare`
+и возвращает его JSON-строку; `hash` вычисляет SHA-256 от `JSON.stringify`
+этой строки в UTF-8. Вложенные значения сохраняют точный порядок ключей
+переданного адаптером доказательства. Адаптер подтверждает тот же digest.
+Владение и свежесть повторно проверяются перед ACK, а после ACK — локальное
+владение и свежесть перед сохранением завершения.
 Ошибка/потеря ACK не разрешает следующий выпуск. Guard и его callback работают
 внутри доверенного адаптера; HTTP-запрос не может подставить этот результат.
 
@@ -82,6 +105,8 @@ UUID исходной попытки доставки и UUID команды Cas
 этапы. Артефакт и успешная установка не подставляются. Сохранённый pending
 запрещает команды, продолжение и резервирование после перезапуска; восстановление
 проходит через тот же `reconcile` и новую фактическую проверку владения.
+Повторная проверка может обновить время наблюдения, но не исходный baseline.
+Старое завершённое восстановление без readback не превращается в доказанный результат.
 Его отдельный предел — 30 секунд; срок публикации не продлевается.
 Обычный `reserveExclusiveOperation` становится доступен после завершения
 восстановления, когда остальные операции установки также разрешены.

package/dist/index.mjs

@@ -1,4 +1,5 @@
 export * from './pipeline.mjs';
 export * from './source-store.mjs';
 export * from './producer.mjs';
+export { publicationFailureProofDigest } from './producer-publication-failure.mjs';
 export { createProtectedJsonStore } from './journal.mjs';

package/dist/producer-journal.mjs

@@ -1,7 +1,10 @@
 import assert from 'node:assert/strict';
 import { hash, canonical, keys, uuid } from './protocol-internals.mjs';
 import { validateRunnerCommand, validateProducerSnapshot } from './protocol.mjs';
-import { validatePublicationFailureRecord } from './producer-publication-failure.mjs';
+import {
+  validatePublicationFailureRecord,
+  validatePublicationFailureReadback,
+} from './producer-publication-failure.mjs';
 
 /** Validate persisted state before any provider command can run after restart. */
 export function validProducerState(state, installationKey, sourcePolicy) {
@@ -30,7 +33,8 @@ export function validProducerState(state, installationKey, sourcePolicy) {
         validatePublicationFailureRecord(
           item.publicationFailureReconciliation,
           item.command,
-          item.deliveryExecution
+          item.deliveryExecution,
+          item.baseline
         );
     }
     validateProducerSnapshot(
@@ -58,7 +62,21 @@ export function validProducerState(state, installationKey, sourcePolicy) {
         if (reconciliation.state === 'settled') {
           assert.equal(run.status, 'failed');
           assert.equal(run.recoveryState, 'verified');
+          assert.ok(run.completedAt);
+          validatePublicationFailureReadback(
+            reconciliation.baselineReadback,
+            state.commands[run.commandId].command,
+            state.commands[run.commandId].baseline,
+            new Date(run.completedAt)
+          );
         } else assert.equal(run.status, 'blocked');
+        if (reconciliation.baselineReadback != null) {
+          assert.deepEqual(run.readback, reconciliation.baselineReadback);
+          if (reconciliation.state === 'pending') {
+            assert.equal(run.recoveryState, 'unverified');
+            assert.equal(run.completedAt, null);
+          }
+        }
       }
     }
     return true;

package/dist/producer-publication-failure.mjs

@@ -1,10 +1,22 @@
 import assert from 'node:assert/strict';
-import { canonical, hash, keys, timestamp } from './protocol-internals.mjs';
+import {
+  canonical,
+  hash,
+  keys,
+  timestamp,
+  completeIdentity,
+  validateReadback,
+} from './protocol-internals.mjs';
+import { acceptedProduction, sameIdentity } from './protocol.mjs';
 import { validateOriginalDelivery, blocker } from './producer-support.mjs';
 import { verifyPublicationDelivery } from './producer-delivery.mjs';
 import { reservePublicationFailureReconciliation } from './exclusive-operation.mjs';
 
 const stages = ['source_ready', 'ci', 'build', 'verify', 'publish'];
+export function publicationFailureProofDigest(fact, baselineReadback) {
+  return `sha256:${hash(canonical({ fact, baselineReadback }))}`;
+}
+
 export function validatePublicationFailureFact(fact, command, delivery) {
   keys(fact, [
     'schema',
@@ -44,11 +56,45 @@ export function validatePublicationFailureFact(fact, command, delivery) {
   return fact;
 }
 
-export function validatePublicationFailureRecord(record, command, delivery) {
-  keys(record, ['state', 'fact']);
+export function validatePublicationFailureReadback(readback, command, baseline, now) {
+  assert.ok(completeIdentity(baseline?.identity), 'Retained production baseline required');
+  validateReadback(baseline);
+  assert.equal(baseline.installationKey, command.installationKey);
+  validateReadback(readback);
+  assert.ok(sameIdentity(readback.identity, baseline.identity), 'Production baseline changed');
+  assert.equal(readback.installationKey, command.installationKey);
+  assert.equal(readback.source, 'independent-production');
+  assert.equal(readback.functionalSmoke.status, 'passed');
+  assert.equal(readback.functionalSmoke.sourceCommit, baseline.identity.sourceCommit);
+  const observations = [readback.observedAt, readback.functionalSmoke.checkedAt];
+  assert.ok(
+    observations.every((value) => Date.parse(value) >= Date.parse(command.requestedAt)),
+    'Baseline observations must preserve the original request boundary'
+  );
+  if (now) {
+    assert.ok(
+      acceptedProduction(readback, { ...command, expectedIdentity: baseline.identity }, now),
+      'Independent production baseline acceptance required'
+    );
+    assert.ok(
+      observations.every((value) => now.getTime() - Date.parse(value) <= 300000),
+      'Fresh production baseline readback required'
+    );
+  }
+  return readback;
+}
+
+export function validatePublicationFailureRecord(record, command, delivery, baseline) {
+  keys(record, ['state', 'fact'], ['baselineReadback']);
   assert.ok(['pending', 'settled'].includes(record.state));
   assert.ok(record.state === 'pending' || record.fact !== null);
   if (record.fact !== null) validatePublicationFailureFact(record.fact, command, delivery);
+  if (record.baselineReadback != null) {
+    assert.ok(record.fact, 'Baseline proof requires its publication failure fact');
+    validatePublicationFailureReadback(record.baselineReadback, command, baseline);
+  }
+  if (record.state === 'settled')
+    assert.ok(record.baselineReadback, 'Settled recovery requires its production baseline proof');
 }
 
 export async function reconcilePublicationFailure(producer, item, run) {
@@ -86,8 +132,14 @@ export async function reconcilePublicationFailure(producer, item, run) {
       .then(() => owned.release({ resolved: false, proofDigest: null }))
       .catch(() => {});
   try {
-    item.publicationFailureReconciliation ??= { state: 'pending', fact: null };
+    item.publicationFailureReconciliation ??= {
+      state: 'pending',
+      fact: null,
+      baselineReadback: null,
+    };
     assert.equal(item.publicationFailureReconciliation.state, 'pending');
+    run.recoveryState = 'unverified';
+    run.completedAt = null;
     await bounded(producer.save());
     const arriving = Promise.resolve().then(() =>
       producer.provider.reconcilePublicationFailure(structuredClone(item.command), {
@@ -113,8 +165,26 @@ export async function reconcilePublicationFailure(producer, item, run) {
     const fact = structuredClone(
       validatePublicationFailureFact(guard.fact, item.command, item.deliveryExecution)
     );
-    const age = producer.now().getTime() - Date.parse(fact.observedAt);
-    assert.ok(age >= -30000 && age <= 30000, 'Fresh publication failure authority required');
+    const baselineReadback = structuredClone(
+      validatePublicationFailureReadback(
+        guard.baselineReadback,
+        item.command,
+        item.baseline,
+        producer.now()
+      )
+    );
+    const assertFresh = () => {
+      const now = producer.now();
+      assert.ok(
+        now.getTime() <= recoveryDeadlineAt,
+        'Publication failure recovery deadline expired'
+      );
+      const age = now.getTime() - Date.parse(fact.observedAt);
+      assert.ok(age >= -30000 && age <= 30000, 'Fresh publication failure authority required');
+      validatePublicationFailureReadback(baselineReadback, item.command, item.baseline, now);
+      return now;
+    };
+    assertFresh();
     const row = run.stages.find((stage) => stage.id === fact.stage);
     assert.ok(
       row && !['passed', 'reused'].includes(row.status),
@@ -132,18 +202,25 @@ export async function reconcilePublicationFailure(producer, item, run) {
     await bounded(guard.assertOwned());
     lease.assertOwned();
     controller.signal.throwIfAborted();
+    assertFresh();
     item.publicationFailureReconciliation.fact = fact;
+    item.publicationFailureReconciliation.baselineReadback = baselineReadback;
     item.deliveryExecution = structuredClone(fact.delivery);
+    run.readback = structuredClone(baselineReadback);
     await bounded(producer.save());
-    const proofDigest = `sha256:${hash(canonical(fact))}`;
+    const proofDigest = publicationFailureProofDigest(fact, baselineReadback);
     await bounded(guard.assertOwned());
+    lease.assertOwned();
+    controller.signal.throwIfAborted();
+    assertFresh();
     releasing = true;
     await bounded(guard.release({ resolved: true, proofDigest }));
     controller.signal.throwIfAborted();
     lease.assertOwned();
+    const completedAt = assertFresh().toISOString();
     run.status = 'failed';
     run.recoveryState = 'verified';
-    run.completedAt = producer.now().toISOString();
+    run.completedAt = completedAt;
     run.blockers = [
       blocker(
         'FAILED_BEFORE_INSTALLATION',
@@ -166,6 +243,8 @@ export async function reconcilePublicationFailure(producer, item, run) {
     item.publicationFailureReconciliation ??= { state: 'pending', fact: null };
     item.publicationFailureReconciliation.state = 'pending';
     run.status = 'blocked';
+    run.recoveryState = 'unverified';
+    run.completedAt = null;
     run.blockers = [
       blocker(
         'RECONCILIATION_REQUIRED',

package/dist/producer.d.ts

@@ -98,9 +98,14 @@ export interface PublicationFailureFact {
 }
 export interface PublicationFailureGuard {
   fact: PublicationFailureFact;
+  baselineReadback: ProductionReadback;
   assertOwned(): Promise<void>;
   release(options: { resolved: boolean; proofDigest: string | null }): Promise<void>;
 }
+export function publicationFailureProofDigest(
+  fact: PublicationFailureFact,
+  baselineReadback: ProductionReadback
+): string;
 export class ReleaseControlProducer {
   constructor(options: {
     installationKey: string;

package/dist/producer.mjs

@@ -3,6 +3,7 @@ import { sameIdentity, acceptedProduction } from './protocol.mjs';
 import { blocker, failureMessage, failedProduction } from './producer-support.mjs';
 import { ProducerExecution } from './producer-execution.mjs';
 import { reconcilePublicationFailure } from './producer-publication-failure.mjs';
+export { publicationFailureProofDigest } from './producer-publication-failure.mjs';
 export {
   sameIdentity,
   validateExpectedSource,

package/dist/provenance.json

@@ -1,29 +1,29 @@
 {
   "schema": 1,
   "package": "@casecore/release-agent",
-  "version": "0.1.1",
-  "sourceCommit": "afb036322db3a5ff3bbe4d3d2d975837ebf469b1",
+  "version": "0.1.2",
+  "sourceCommit": "f51fa3e14522b88887645d3f83cc2dcfaf478d32",
   "sourceVerified": true,
   "sourceDirty": false,
   "buildKind": "release",
-  "contentDigest": "sha256:c5f5749d35f85bf2ae7878983ecfd0ef77ee065e1526bf29d54680ddf1b9cc70",
+  "contentDigest": "sha256:8b324e7f25b018f0b79a9deded8aada1b885646a807578a2697bd47b7c8fb5a0",
   "files": {
     "src/configuration-hook.mjs": "sha256:1171bf982cbf7cb0092f63b633ef0b0a0947d8ed1106f88c9175c8add33d81b1",
     "src/exclusive-operation.mjs": "sha256:5a1d0b7d3aa41b901132e239586d66d6c7aa2c16682a7db033a7aab91b1d781a",
     "src/identity.mjs": "sha256:253021058fc79232d83f3ecba6f1023fd046f27aabdf9c129a103d3c9ccb07f5",
-    "src/index.mjs": "sha256:38d3ebcffe8716f7146c18061d26a392d7784b97a79c59ed53ff839175de2f94",
+    "src/index.mjs": "sha256:76bda5e1dc376bb7033d8fdbddb0afa85c7c68bbe028aea078ffceaaa35ec75e",
     "src/journal.mjs": "sha256:35a2620d56084ec1aa164e09d77b8e77096413d9572f7b601da8ef7149b996bd",
     "src/pipeline.mjs": "sha256:7a2d39d235ce7160441d177200389c5f3eae1cc494ec36082a23e8d64a0abe3f",
     "src/producer-admission.mjs": "sha256:975c7dac25d4c8f94423e5a4db2bd99c556afd6492b26fbda58e841f1df8fc3c",
     "src/producer-delivery.mjs": "sha256:b20d9ae20dee90bbbe739245a84c9f4b91b1ab958b5e2995ff8705da24ba3988",
     "src/producer-execution.mjs": "sha256:6d9fbca493e4386c92c4d853a66ece3677ec7ab644d6da15b68dd744f30186ef",
-    "src/producer-journal.mjs": "sha256:4799a2224ff1004d68892b807b222da708f8f51e0554b01f54d5c877a8ef84bd",
-    "src/producer-publication-failure.mjs": "sha256:513e71276c7ce4088c95cb3605917afc4709cbb7222ac746958923d7f18eac70",
+    "src/producer-journal.mjs": "sha256:0934057702fb611b9a8d9dde58cb2c2024f436a49a4e5f6ab02f8884a320cea7",
+    "src/producer-publication-failure.mjs": "sha256:726b2b85880143b70219473896b894f64b25b1c495f77488f1e73ce950b839f6",
     "src/producer-publication.mjs": "sha256:c09fa07b37507093b71bbaff3af9df8ec2331c0cba24a4b936d247e9b35257f7",
     "src/producer-server.mjs": "sha256:def28e10a17eb80fb04ba69b09050731bb005949f949a7f1fb46dae267323434",
     "src/producer-state.mjs": "sha256:c3fcdace4c6579be092d39803cfb308e4bf88060b3f75bb7fc8b91284609b4ce",
     "src/producer-support.mjs": "sha256:0a10f6fa50cd8e729ba432640d0845004488ead2bcc1c9383f02548037f83d66",
-    "src/producer.mjs": "sha256:7dd4e6118531c25c6d5547d769263858e556731c76af87fba4c21c8ed98b3994",
+    "src/producer.mjs": "sha256:6d0b875a9901a14edf5b93c771356f5352e924ff7977c13b027343c9bdca42f4",
     "src/protocol-internals.mjs": "sha256:d08a0c72079d091792c5327adafac5ffc38ea20138a6c44b88879e7157a890b3",
     "src/protocol.mjs": "sha256:1fe135a2e60922b517886a392c2b0c2250b773abda8b1a1fcd9af86df2be6dae",
     "src/snapshot-validator.mjs": "sha256:1279aa19e0932776bc1998935f70ca6fae65391f96b60e2d65bcab3b2cb46036",
@@ -33,7 +33,7 @@
     "types/index.d.ts": "sha256:92ef7b5600f05d52dcb646fc3e4d2b4944ead52ff1c9ee23bb9f4659bebf05a6",
     "types/journal.d.ts": "sha256:79beb61af50b00400588a87426a7f5b38bf38d4b8224284dc6e0631378aa244e",
     "types/pipeline.d.ts": "sha256:c9135e25fb852377c32a16ce781405393c5857886e3f77754b715747202c70a9",
-    "types/producer.d.ts": "sha256:16ec1e81964a982c9653cdfe70eb3aa22ea8dd7200c2949a8e6731686df7a7bb",
+    "types/producer.d.ts": "sha256:980aad137365f6c131b6bfabfab411a73c4a2b2fb35a167152ef8ed446ec1ade",
     "types/protocol.d.ts": "sha256:02c06986c81bfc4214169f62da8e0566704b71a5add58434dfca92c673fad4ce",
     "types/source-store.d.ts": "sha256:de044c2bca9826b6c20caefb00d22a4c78183a869b8835fb8f15935989e2372a",
     "types/types.d.ts": "sha256:cdc6664854bffc371a3da45f29bf1b31f14fd61b66e8f8bae8309dd836f6de6e"

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@casecore/release-agent",
-  "version": "0.1.1",
+  "version": "0.1.2",
   "description": "Общий движок поставки CaseCore с адаптерами продуктов",
   "license": "UNLICENSED",
   "repository": {