@modusensus/dsh-mneme 0.9.0 → 0.9.2

package/test/sensitive-scan.test.js

@@ -205,3 +205,47 @@ test("长文本上的回溯有上界：写阻塞类回归的计时护栏", () =>
     assert.ok(ms < 2000, `${text.length} 字符耗时 ${ms.toFixed(1)}ms，超 2000ms 预算（回溯上界被破坏？）`);
   }
 });
+
+// 仓库文本守卫：语料里的凭据值必须以拼接形式存在，仓库里不得留下完整形状。
+// 触发这件事的是 GitHub secret scanning 的 alert #1——write-admission-samples.js 里
+// openai-key 那条曾经是整串字面量（同文件其它四条都已是 assemble 拼接），被报成
+// openai_api_key 的 open=true 告警。它本身不是泄露（正文是 a-z、0-9 的顺序串），
+// 但扫描器只看形状；而这条漏网说明「逐条记得改」靠不住，所以用一条测试把它钉住：
+// 以后谁再往语料里加字面量，这里先红，不用等 GitHub 来通知。
+test("语料里不留完整形状的凭据字面量（secret scanning alert #1 的回归锁）", async () => {
+  const { readFile, readdir } = await import("node:fs/promises");
+  const helpersDir = new URL("./helpers/", import.meta.url);
+  const files = (await readdir(helpersDir)).filter((f) => f.endsWith(".js"));
+  // 前缀集合与长度都对齐 src/sensitive-scan.js 的 github_token / slack_token /
+  // openai_key 三条规则——只有形状一致才谈得上「扫描器会认」，前缀写窄了等于给
+  // gho_ / ghs_ / xoxp- 这些同族凭据开后门。改那三条规则时这里要跟着改。
+  // 唯一放宽的是 sk- 的下限：生产规则是 24，这里用 20，宁可多报——漏报的代价是
+  // GitHub 再报一次告警，多报的代价只是有人来把这行改成拼接。
+  const rules = [
+    // kind 与生产判据对齐，下面的断言拿它反查 scanSensitive 是不是真认这个形状。
+    { re: /\bsk-(?:proj-)?[A-Za-z0-9_-]{20,}\b/, what: "OpenAI key", kind: "openai_key", probe: `sk-${"a1".repeat(13)}` },
+    { re: /\b(?:ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9]{36}\b/, what: "GitHub token", kind: "github_token", probe: `ghs_${"a1".repeat(18)}` },
+    { re: /\bxox[abprs]-[A-Za-z0-9-]{10,}\b/, what: "Slack token", kind: "slack_token", probe: `xoxp-${"a1".repeat(8)}` }
+  ];
+  // 「与生产规则同源」不能只是注释：CodeRabbit 在 #465 指出前一版把前缀写窄了
+  // （只认 ghp_ / xoxb-，漏了 gho_/ghs_/xoxp-），注释却写着同源。所以这里反查
+  // scanSensitive——守卫的每条规则必须真的被生产判据认成同一个 kind，否则这条红。
+  // 生产规则收窄前缀时，这条测试会先于「GitHub 又报一次告警」发现不一致。
+  // 两段合起来才叫同源：探针要同时被**守卫的规则**和**生产判据**认下，且 kind 一致。
+  // 只查一边的话，任一侧收窄前缀都不会红——那正是 CodeRabbit 指出的失效模式。
+  for (const { re, what, kind, probe } of rules) {
+    assert.match(probe, re, `守卫自己的 ${what} 规则认不出 ${probe}，前缀写窄了？`);
+    assert.equal(scanSensitive(probe)?.kind, kind, `生产判据不认 ${probe} 为 ${kind}，守卫与它不同源`);
+  }
+  for (const file of files) {
+    const text = await readFile(new URL(file, helpersDir), "utf8");
+    for (const { re, what } of rules) {
+      const hit = text.match(re);
+      assert.equal(
+        hit,
+        null,
+        `${file} 里出现了完整的 ${what} 字面量（${hit?.[0]?.slice(0, 12)}…）：按 assemble 拼接，别整串写`
+      );
+    }
+  }
+});

package/test/tools-dto-schema-matrix.test.js

@@ -38,7 +38,8 @@ const TOOL_NAMES = [
   "memory_forget",
   "memory_archive",
   "memory_register_document",
-  "memory_runtime"
+  "memory_runtime",
+  "set_scope_state"
 ];
 
 function setup(config = {}) {
@@ -121,7 +122,7 @@ test("工具矩阵与 TOOL_NAMES 清单一致（新增工具必须补进矩阵
   assert.deepEqual(Object.keys(byName).sort(), [...TOOL_NAMES].sort());
 });
 
-test("A 实跑：10 个工具每个可安全触达的分支，真实返回 ⊆ 声明的 output schema", async () => {
+test("A 实跑：11 个工具每个可安全触达的分支，真实返回 ⊆ 声明的 output schema", async () => {
   const { store, service, byName } = setup({ documentMemoryEnabled: true });
   const shapes = seedShapes(store);
   const annotated = shapes[shapes.length - 1];
@@ -197,6 +198,14 @@ test("A 实跑：10 个工具每个可安全触达的分支，真实返回 ⊆
   assert.equal((await drive(byName, "memory_archive", { id: archiveTarget.id, archived: false })).memory.archived, false);
   note("memory_archive");
 
+  // --- set_scope_state（#471）：两个方向的分支——按下与松开各驱动一次 ---
+  const pressed = await drive(byName, "set_scope_state", { dimension: "workspace", scope_value: "proj-alpha", state: "paused" });
+  assert.equal(pressed.scope.state, "paused");
+  assert.equal(pressed.scope.scope_value, "proj-alpha");
+  const released = await drive(byName, "set_scope_state", { dimension: "workspace", scope_value: "proj-alpha", state: "active" });
+  assert.equal(released.scope.state, "active");
+  note("set_scope_state");
+
   // --- memory_runtime：只驱动只读与「无载荷早退」两条分支 ---
   // provision 会联网下载数十至上百 MB（且可能 adopt 本机载荷、硬链接数以百 MB 计），
   // verify 命中载荷时会真实加载模型——两者都不属于单元测试该做的事。status 与其
@@ -285,7 +294,7 @@ test("B' search / list / get 三个消费方共用同一份 item schema（#184
   }
 });
 
-test("C 结构：全部 10 个工具的 output schema 闭合、required ⊆ properties、每项带 type", () => {
+test("C 结构：全部 11 个工具的 output schema 闭合、required ⊆ properties、每项带 type", () => {
   const { byName } = setup();
   for (const name of TOOL_NAMES) {
     const schema = byName[name].output.schema;

package/test/tools.test.js

@@ -49,11 +49,11 @@ function walkSchema(node, path, problems) {
   }
 }
 
-test("registers ten tools with correct names", () => {
+test("registers eleven tools with correct names", () => {
   const { registered } = setup();
   const names = registered.map((t) => t.name).sort();
   // #230 新增 memory_register_document（agent 产长文档的指针行铸造口）。
-  assert.deepEqual(names, ["memory_archive", "memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_search", "memory_update"]);
+  assert.deepEqual(names, ["memory_archive", "memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_search", "memory_update", "set_scope_state"]);
 });
 
 // v0.8.5 tool-exposure gate: disabling a tool hides it from the model entirely
@@ -62,19 +62,19 @@ test("registers ten tools with correct names", () => {
 test("disableMemorySearch hides only memory_search", () => {
   const { registered } = setup({}, { disableMemorySearch: true });
   const names = registered.map((t) => t.name).sort();
-  assert.deepEqual(names, ["memory_archive", "memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_update"]);
+  assert.deepEqual(names, ["memory_archive", "memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_update", "set_scope_state"]);
 });
 
 test("disableMemoryArchive hides only memory_archive", () => {
   const { registered } = setup({}, { disableMemoryArchive: true });
   const names = registered.map((t) => t.name).sort();
-  assert.deepEqual(names, ["memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_search", "memory_update"]);
+  assert.deepEqual(names, ["memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_search", "memory_update", "set_scope_state"]);
 });
 
 test("both disable flags hide both tools", () => {
   const { registered } = setup({}, { disableMemorySearch: true, disableMemoryArchive: true });
   const names = registered.map((t) => t.name).sort();
-  assert.deepEqual(names, ["memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_update"]);
+  assert.deepEqual(names, ["memory_delete", "memory_forget", "memory_get", "memory_list", "memory_register_document", "memory_runtime", "memory_save", "memory_update", "set_scope_state"]);
 });
 
 // Description discipline: with all tools exposed, the descriptions must steer a
@@ -90,7 +90,7 @@ test("memory_search/archive descriptions carry tool-use discipline", () => {
 
 test("compiled schemas pass the enforced DSH subset (defineTool projection)", () => {
   const { registered } = setup();
-  assert.equal(registered.length, 10);
+  assert.equal(registered.length, 11);
   for (const tool of registered) {
     assertSupportedJsonSchema(tool.parameters);
     assertSupportedJsonSchema(tool.output.schema);

package/test/workflow-guards.test.js

@@ -0,0 +1,156 @@
+// 工作流配置的回归锁：安全扫描、发布权限、发版准备的注入面不能悄悄退回。
+// 锁的都是「配置漂移」——CI 配置没有类型检查，改错了照样绿。
+import test from "node:test";
+import assert from "node:assert/strict";
+import { readFileSync } from "node:fs";
+import { fileURLToPath } from "node:url";
+import path from "node:path";
+
+const repoRoot = path.dirname(path.dirname(path.dirname(fileURLToPath(import.meta.url))));
+
+test("security.yml 的 osv-scanner 保持 fail-on-vuln: true", () => {
+  // 2026-10 审计：这里原本是 false（纯提醒，PR 上永远是绿的）。改回 false 就等于
+  // 「有已知漏洞也不红」，而测试目录原本没有任何东西会察觉这件事。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "security.yml"), "utf8");
+  assert.match(yml, /fail-on-vuln:\s*true/, "osv-scanner 必须保持 fail-on-vuln: true");
+  assert.doesNotMatch(yml, /fail-on-vuln:\s*false/, "不得退回只上传 SARIF 不拦的档位");
+});
+
+// 剥掉整行注释再断言：注释里会**描述**「id-token: write 该发给谁」，
+// 直接对全文 grep 会被自己写的说明文字骗过（第一版就栽在这里）。
+function codeOnly(yml) {
+  return yml.split(/\r?\n/).filter((l) => !/^\s*#/.test(l)).join("\n");
+}
+
+// 按缩进切出单个 job 的文本块：工作流顶层是 0 缩进，job 名是 2 缩进。
+// 只做文本切片不做完整 YAML 解析——仓库零依赖，为一条断言引 yaml 解析器不划算。
+function jobBlock(yml, name) {
+  const lines = codeOnly(yml).split(/\r?\n/);
+  const start = lines.findIndex((l) => l === "  " + name + ":");
+  assert.ok(start >= 0, "找不到 job: " + name);
+  let end = lines.length;
+  for (let i = start + 1; i < lines.length; i++) {
+    if (/^  [A-Za-z0-9_-]+:$/.test(lines[i])) { end = i; break; }
+  }
+  return lines.slice(start, end).join("\n");
+}
+
+test("release.yml 的 provenance 权限只发给 publish，不发给工作流顶层", () => {
+  // 三件事分开断言，因为「全文件 grep id-token: write」会被两种错误都骗过：
+  //   ①有人把 id-token 提到工作流顶层（verify/test 也拿到 OIDC 能力）
+  //   ②有人把 publish 的权限删了但别的 job 还有（provenance 会失败）
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release.yml"), "utf8");
+  assert.match(yml, /npm publish[^\n]*--provenance/, "publish 必须带 --provenance");
+
+  // YAML 允许把顶层键写成 "jobs": 或 'jobs':，那也是合法的工作流。
+  // 只匹配裸 jobs: 会在那种写法下把整个文件当成 head，于是 publish 里合法的
+  // id-token 被误判成「顶层声明」——失败方向是误红不是漏检，但假红会磨损这条锁。
+  const head = codeOnly(yml).split(/\r?\n(?=["']?jobs["']?:\s*$)/m)[0];
+  assert.doesNotMatch(head, /id-token:/, "工作流顶层不得声明 id-token（会泄漏给所有 job）");
+
+  const publish = jobBlock(yml, "publish");
+  assert.match(publish, /id-token:\s*write/, "publish job 需要 id-token: write");
+  assert.doesNotMatch(publish, /contents:\s*write/, "publish 只读代码，不需要 contents: write");
+
+  const release = jobBlock(yml, "release");
+  assert.match(release, /contents:\s*write/, "release job 建 Release 需要 contents: write");
+});
+
+// 把每个 `run: |` 块的正文切出来。要断言的是「脚本正文里没有模板展开」，
+// 而 run 块之外（env、with、name）出现 ${{ }} 是正常且必需的。
+function runBlocks(yml) {
+  const lines = codeOnly(yml).split(/\r?\n/);
+  const blocks = [];
+  for (let i = 0; i < lines.length; i++) {
+    const m = /^(\s*)run:\s*\|\s*$/.exec(lines[i]);
+    if (!m) continue;
+    const indent = m[1].length;
+    let j = i + 1;
+    for (; j < lines.length; j++) {
+      const line = lines[j];
+      if (!line.trim()) continue;
+      if (line.match(/^\s*/)[0].length <= indent) break;
+    }
+    blocks.push(lines.slice(i + 1, j).join("\n"));
+    i = j - 1;
+  }
+  return blocks;
+}
+
+test("release-prep.yml 的版本号走 env 注入，不内插进 run 脚本", () => {
+  // 2026-10 审计：zizmor 对 `--head "release-prep/${{ inputs.version }}"` 报 template-injection
+  // （模板展开可能带进攻击者可控的代码）。虽然上游 Validate 已用 ^[0-9]+\.[0-9]+\.[0-9]+$ 卡过格式，
+  // 但这里让扫描器看清「值不经过 shell 重解析」比让它推理上游校验够不够严便宜得多。
+  // 退回内插不会有任何测试变红，所以在这里锁住。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release-prep.yml"), "utf8");
+  assert.match(yml, /VERSION:\s*\$\{\{\s*inputs\.version\s*\}\}/, "版本号必须先进 env 再进脚本");
+  const blocks = runBlocks(yml);
+  assert.ok(blocks.length >= 3, "至少应切出 Validate / Count tests / Create PR 三个 run 块，实际 " + blocks.length);
+  for (const block of blocks) {
+    assert.doesNotMatch(block, /\$\{\{/, "run 脚本正文里不得出现模板展开：" + block.slice(0, 120));
+  }
+});
+
+test("release-prep.yml 与 badge:sync 用同一个记账口径（套件总数，不是通过数）", () => {
+  // v0.8.11 徽章漂移的同类失效：两条路径各有一套口径时，谁都不知道该信哪个数。
+  // 徽章报的是 CI（ubuntu）口径——平台条件跳过的用例在 pass 里不计、在 tests 里计入，
+  // 于是从一台有跳过条件的机器上跑发版准备，会写进一个比 badge:sync 小 1 的徽章，
+  // 而且它进 PR 时 CI 是绿的（徽章只出现在文档里，没有测试会去比对它）。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release-prep.yml"), "utf8");
+  const blocks = runBlocks(yml);
+  const countBlock = blocks.find((b) => /node --test/.test(b));
+  assert.ok(countBlock, "应当能切出跑测试的那个 run 块");
+  assert.ok(countBlock.includes("tests [0-9]+"), "计数必须取 tests N（与 sync-test-badge.mjs 同口径）");
+  assert.ok(!countBlock.includes("pass [0-9]+"), "不得退回 pass N：那是另一套记账口径");
+});
+
+test("发版准备的两份人写清单都点出跨 minor 要挪 SECURITY.md 支持版本表", () => {
+  // 跨 minor 时 security-doc.test.js 会红，而那时人往往已经忘了这张表——工作流开的 PR
+  // 就是最后一道能把话说清楚的时机。commit-msg 与 pr-body 是两份独立的文本，
+  // 少一份就等于一半的路径上没有提示（reviewer 只看 PR 正文，git log 只看提交信息）。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release-prep.yml"), "utf8");
+  const hits = yml.match(/SECURITY\.md 中英两张支持版本表/g) || [];
+  assert.equal(hits.length, 2, "commit message 与 PR 正文各要有一条，实际 " + hits.length);
+});
+
+test("release-prep.yml 的重跑守卫：已有 PR 不动分支，只覆盖机器产出", () => {
+  // 2026-10-18 实测：工作流 8 步里前 7 步全成功，最后一步 git push 被
+  // "! [rejected] release-prep/0.9.1 -> release-prep/0.9.1 (fetch first)" 打回——
+  // 上一次运行已经把同名分支推上去了。不可重入的代价不是「重跑失败」这么轻：
+  // 人会以为流程坏了，转去手工发版，整套自动化就此被绕开。
+  //
+  // 但「能重跑」不能退化成「无条件 force push」：分支上可能已经有人补过 CHANGELOG
+  // 条目，那正是这套流程留给人的那部分工作，覆盖掉比不能重跑更糟。所以守卫分三档：
+  // 有进行中的 PR → 什么都不动；顶端是机器产出且没有 PR → 按重跑覆盖；其他 → 停下要人看。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release-prep.yml"), "utf8");
+  const blocks = runBlocks(yml);
+  const pushBlock = blocks.find((b) => /git push/.test(b));
+  assert.ok(pushBlock, "应当能切出含 git push 的那个 run 块");
+
+  const prLookup = pushBlock.indexOf('--state open');
+  const pushAt = pushBlock.indexOf("git push");
+  assert.ok(prLookup > 0, "重跑前必须查有没有进行中的 PR（gh pr list --state open）");
+  assert.ok(prLookup < pushAt, "查 PR 必须发生在 push 之前");
+
+  // 三档判定：没有 PR 才继续；继续时顶端提交必须是本工作流生成的。
+  assert.ok(pushBlock.includes("--force-with-lease="), "重跑覆盖必须用 --force-with-lease（锁住 fetch 到的 SHA）");
+  assert.ok(!/git push[^\n]*--force(?!-with-lease)/.test(pushBlock), "不得退回无条件 --force");
+  // 断言的是那个 if 本身，不是变量名：变量名留在 case 里、判定被删掉，
+  // 只查 includes("MACHINE_TAIL") 照样绿（第一版就是这么漏的）。
+  assert.match(pushBlock, /if \[ "\$MACHINE_TAIL" != "yes" \]; then/, "必须有「顶端不是机器产出就停下」的那道判定");
+});
+
+test("release-prep.yml 开 PR 失败时给的是可行动的报错，不是裸 GraphQL 报错", () => {
+  // 第二个真因（2026-10-18 实测）：仓库级开关 can_approve_pull_request_reviews=false，
+  // job 里写 pull-requests: write 覆盖不了它，最后一步报
+  // "GitHub Actions is not permitted to create or approve pull requests"。
+  // 这个开关在**组织层**默认关着时仓库层根本改不动（gh api 返回 409 Conflict），
+  // 所以要让人一眼看出该去哪里开、开完能不能直接重跑。
+  const yml = readFileSync(path.join(repoRoot, ".github", "workflows", "release-prep.yml"), "utf8");
+  // 只在**可执行部分**里找：这几句话在注释里也出现过（注释是在解释为什么），
+  // 对全文 grep 会被自己写的说明文字骗过——报错文案被删干净了照样绿。
+  const code = codeOnly(yml);
+  assert.match(code, /not permitted to create or approve pull requests/, "报错文案要点名这个具体的 GitHub 报错，人才搜得到");
+  assert.match(code, /Settings → Actions → General/, "必须写清去哪个设置页开");
+  assert.match(code, /Allow GitHub Actions to create and approve pull requests/, "必须写清要打开的那个开关叫什么");
+});