@namewta/speculo 1.0.5 → 1.0.7

package/template/workflows/ops/common/service-profiles/custom.md

@@ -0,0 +1,5 @@
+# custom 服务档案
+
+未知服务类型（包括用户写的 lauctric）保留原名，不猜成另一个产品。Agent 读取用户实际仓库、版本、启动、数据路径、认证和备份恢复说明，生成专用部署 spec。
+
+能运行 Compose 或 native 并不意味着已有逻辑资源分配/恢复 adapter。未知服务资源可通过 existing + 实际授权健康检查登记，或者在受审阅的 host/project脚本中明确实现后再使用；不能伪造“内置支持”标签。

package/template/workflows/ops/common/service-profiles/docker-engine.md

@@ -0,0 +1,11 @@
+# Linux Docker Engine 准备合同
+
+本版不从互联网猜最新安装命令。先读取真实发行版、架构、已有 Engine/Compose、用户和配置。缺失时由用户/Agent提供固定版本的可信安装器与包清单，安装器本地文件哈希进入计划，禁止直接执行未校验 curl 输出。
+
+使用 H host_actions：将安装器写入 `_host/installers/<version>/`；install-toolchain 明示系统包文件/服务动作、当前默认版本与验证；write-control 合并 `/etc/docker/daemon.json`，data-root 必须是已登记 `host_root/_runtime/docker`；之后明确 restart/start、info、compose version 和权限检查。已有配置不能直接覆盖成仅含 data-root 的文件；先保存、合并并复核差异。
+
+已有数据：生成独立维护计划，列所有容器/消费者，验证一致备份，停机，保留旧目录，显式复制/校验/切换/启动/验证。不能“为了规范”直接删除 /var/lib/docker。Rootless 有不同 daemon/config 权限，需显式适配，不冒充 rootful。
+
+Docker Desktop 和隐藏 VM 不能通过在 Windows 创建 C:\Ops\_runtime\docker 就满足真实根；严格模式不接受这类假配置。使用实际 Linux/WSL Engine 主机，或先实施并验证对应平台 adapter。
+
+D 会读取 daemon ID/context/endpoint/data-root/Compose 版本，固定实际 daemon，只接受 unix/npipe 本机端点，拒绝 remote context 偷连另一台机器。容器镜像必须 image@sha256，Compose>=2.30，根文件系统只读，全部业务数据显式 bind。

package/template/workflows/ops/common/service-profiles/minio.md

@@ -0,0 +1,7 @@
+# minio 服务档案
+
+提供者独立 minio-main 项目，service_type=minio，service.endpoint 是实际管理员端点；对象数据在 data/minio/objects，实例卷数和恢复方式根据真实拓扑确定，不机械套单盘模板。
+
+内置分配使用用户指定并核验版本的 mc client_path，以 MC_HOST_ops 进程环境传管理员凭据；每 APP 一个桶、最小桶策略和应用身份。mc admin user add 的新应用密码位于子进程参数，需 allow_secret_argv=true 显式确认特权进程查看风险；不接受该边界时使用既有资源的实际验证模式。
+
+删除 APP 不删除桶或公共实例。桶级恢复需实际版本/复制/版本控制策略，不能把复制 APP 根当作对象数据备份。

package/template/workflows/ops/common/service-profiles/mysql.md

@@ -0,0 +1,7 @@
+# mysql 服务档案
+
+提供者是独立 mysql-main 项目，service_type=mysql，method=compose，service.compose_service 必须是实际服务名。image 固定摘要。数据在 data/mysql/instance，容器 /var/lib/mysql 显式 bind；镜像声明的其他 VOLUME 必须根据实际 inspect 映射。创建目录的 uid/gid 与所用镜像一致，不猜所有版本相同。
+
+管理员凭据登记 provider.credential_refs；应用库用 Allocation(resource_kind=database)，应用账号 username/password 必须在账本中真实匹配。内置分配只允许明确本库权限，默认 SELECT/INSERT/UPDATE/DELETE；迁移用户需要 DDL 时显式授予本库所需权限，不授全局管理员。
+
+已存在未知库/用户拒绝覆盖；密码不自动重置。数据备份使用该版本可验证的一致性逻辑/物理工具；单 APP 回滚不得恢复整个实例。

package/template/workflows/ops/common/service-profiles/redis.md

@@ -0,0 +1,7 @@
+# redis 服务档案
+
+提供者独立 redis-main 项目，service_type=redis，service.compose_service 指向实际服务。数据在 data/redis/instance；ACL 文件配置为 data/redis/acl/users.acl（service.acl_persistence 必须完全匹配），容器 ACL 写入路径必须映射到这个项目数据目录，不能将 ACL SAVE 写到只读 config。
+
+每个 APP 使用不同 ACL username、prefix 和凭据；禁用/限制危险管理命令，内置分配使用受限命令类别。必须核验真实客户端兼容性、ACL SAVE 和新账号认证。prefix/数字 DB 不等于独立内存/CPU/备份恢复边界；要求强隔离时部署专用实例。
+
+持久化 AOF/RDB 属于业务数据不是可随意清理的日志。公共实例恢复影响所有消费者，需要整体维护批准。

package/template/workflows/ops/common/templates/CONTROLLER-RECORD.md

@@ -0,0 +1,13 @@
+# 部署机完整明文记录
+
+此文件是内容合同，不含真实密码；实际生成器依据成功回执填入真实值，不把占位符当交付。
+
+## 主机与项目部署矩阵
+
+## 真实用户名、密码、访问密钥与用途
+
+## 服务端配置和 README 镜像位置
+
+## 运行记录、局部失败/unknown、双边回执
+
+## 业务数据备份实际位置，不声称仅记录配置就备份数据

package/template/workflows/ops/common/templates/EXECUTION-PLAN.md

@@ -0,0 +1,15 @@
+# 完整执行计划
+
+此文件是内容合同，不含真实密码；实际生成器依据成功回执填入真实值，不把占位符当交付。
+
+## 目标身份、网络、源码构件、登记修订与现状
+
+## 全部动作、文件/权限/路径差异、默认恢复
+
+## 逻辑资源分配、账号版本与受影响消费者
+
+## 下载/停机/迁移/数据丢失风险、恢复限制
+
+## 验证方式、双边明文文件和权限
+
+## plan_digest、有效期、用户明确批准

package/template/workflows/ops/common/templates/HOST-README.md

@@ -0,0 +1,11 @@
+# 主机总入口
+
+此文件是内容合同，不含真实密码；实际生成器依据成功回执填入真实值，不把占位符当交付。
+
+## host_id、实际身份、host_root、更新 UTC 时间
+
+## 同级 APP 与公共服务表、最后验证版本、目录
+
+## 通用规范、知识与部署总册索引
+
+## 系统问题、依赖影响、备份与恢复说明

package/template/workflows/ops/common/templates/PROJECT-README.md

@@ -0,0 +1,15 @@
+# APP / 服务部署记录
+
+此文件是内容合同，不含真实密码；实际生成器依据成功回执填入真实值，不把占位符当交付。
+
+## 部署实例、主机、账户、来源与固定构件
+
+## observed_version 与首次/最近 UTC 部署时间
+
+## 项目根、compose/service、env、config、data/component/purpose、logs、backups
+
+## 依赖 provider、逻辑资源、物理路径、网络与备份归属
+
+## 启动、停止、查看、更新、迁移、回滚步骤
+
+## 最后运行与双边文档回执；默认不写密码