@furongjun1999/dsh-memory 0.5.0 → 0.6.0

package/md_cg/sources.py

@@ -30,6 +30,7 @@ import os
 import time
 
 from . import trust
+from .fsutil import publish
 from .security import DEFAULT_SENSITIVITY
 
 # 会话事件的默认落层与敏感度
@@ -452,12 +453,12 @@ class Ingestor:
                 pass
         return {"schema": 1, "sources": {}}
 
-# 生效条件：传入 d 时以 ensure_ascii=False/indent=1 写入 self.path+".tmp"，再 os.replace 覆盖 self.path。
+# 生效条件：传入 d 时以 ensure_ascii=False/indent=1 写入 self.path+".tmp"，再 publish（带 Windows 短重试的 os.replace）覆盖 self.path。
     def _save(self, d):
         tmp = self.path + ".tmp"
         with open(tmp, "w", encoding="utf-8") as f:
             json.dump(d, f, ensure_ascii=False, indent=1)
-        os.replace(tmp, self.path)
+        publish(tmp, self.path)
 
 # 生效条件：key 命中 self._load()["sources"] 时返回其值，缺 key 时返回 {}（_load 结果缺 "sources" 键则抛 KeyError）。
     def watermark(self, key: str):

package/md_cg/stg.py

@@ -121,11 +121,17 @@ def _scan(cg, layer=None, max_scan=5000):
 
     索引为旧快照（无 temporal/spatial 键）时回退读文件，保证兼容；
     正文一律不在此加载——预览按需读，避免全库 IO。
+    授权单点（issue #35 会话隔离定稿）：cg 带 `_readable`（MdCGSecure）
+    时逐条过读可见性——密级 × 会话绑定档在此与 _candidates 同口径，
+    stg 各 op（timeline/relation/anchors）不得成为绕过路径。
     """
     out = []
+    _sec = getattr(cg, "_readable", None)
     for nid, e in list(cg.index["nodes"].items())[:max_scan]:
         if layer and e.get("layer") != layer:
             continue
+        if _sec is not None and not _sec(e):
+            continue
         if "temporal" in e or "spatial" in e:
             # 效力轴四键必须一并从快照带出：否则 `time_axis="effective"` 在快照
             # 路径上永远「不可判定」（静默全空，比报错更难查）。旧索引快照无这些