@oj-module/cli 0.2.69 → 0.2.71

package/src/market/bootstrap.ts

@@ -9,7 +9,8 @@
  *   私钥只在内存，临时根内无 PEM（站点自己的开发证书走 mintDevCert，属站点身份）；
  * - **凭据**：隔离库是全新 seed，admin 口令即种子默认值，与真站点凭据零交集；
  * - **信任库**：`.solutions/trusted-keys.yaml` 只在安装器写入时生成，全新根内不存在；
- * - **CDN 目录**：临时根内 cdn/，由本模块自建（publish + build-index 直落）。
+ * - **CDN 目录**：临时根内 cdn/，由本模块自建（publish 落字节 + db-seed 直写 market_release
+ *   目录行——DB 目录化后安装解析直读目录表，索引机制已退役，v4 §五内部通道）。
  *
  * 提库来源：`scripts/verify-solution-smoke/bootstrap-host.mjs`（同手法，脚本形态）；
  * 本文件是它的 cli 内嵌版（计划 §9.1：phase1 从这里提库而非重写）。
@@ -31,7 +32,7 @@ import { exportRawPublicKeyHex, fingerprintOfPublicKey } from "../lifecycle/sign
 import { startOj } from "../oj";
 import { mintDevCert } from "../oj-cert";
 import { resolveOjBin } from "../vendor";
-import { buildIndex } from "./build-index";
+import { seedMarketRelease } from "./db-seed";
 import { parseFixtureSpec } from "./fixture";
 import { publishPackage } from "./publish";
 
@@ -205,10 +206,9 @@ export async function bootstrapIsolatedSite(opts: BootstrapOptions = {}): Promis
 	const keyId = "trial.publisher";
 	const publisher = derivePublisherKey(randomBytes(16).toString("hex"));
 
-	// 6) 隔离 CDN：落 fixture 包 + 重建索引（publish/buildIndex 直落临时根）
+	// 6) 隔离 CDN：落 fixture 包字节（publish 内部通道）——目录行在 oj 起站迁移后 seed（步骤 7b）
 	mkdirSync(cdnDir, { recursive: true });
-	await publishPackage({ projectRoot: root, fixture: opts.fixture, id: keyId, privateKeyPem: publisher.privateKeyPem, registryId: "trial.registry" });
-	await buildIndex({ projectRoot: root, id: keyId, privateKeyPem: publisher.privateKeyPem });
+	const published = await publishPackage({ projectRoot: root, fixture: opts.fixture, id: keyId, privateKeyPem: publisher.privateKeyPem, registryId: "trial.registry" });
 
 	// 7) 后端构建（dist/api + versions.json；安装与 reloading 都依赖它）
 	await buildBackend(root);
@@ -224,7 +224,11 @@ export async function bootstrapIsolatedSite(opts: BootstrapOptions = {}): Promis
 		rmSync(root, { recursive: true, force: true });
 		throw error;
 	}
-	log(`[ojm] 隔离站点就绪：http://127.0.0.1:${port}（根 ${root}）`);
+	// 7c) 目录行 seed（站点内部通道，v4 §五）：oj serve 起站已应用迁移——直写 market_release，
+	// 安装解析/index 卡片/releases 的目录真源；不走上传签名面（试车夹具不该依赖被测面之外
+	// 的签名/信任库/限速）。CLI 是本库唯一写者（隔离场景无并发）。
+	seedMarketRelease(dbPath, { tgzPath: published.tgzPath });
+	log(`[ojm] 隔离站点就绪：http://127.0.0.1:${port}（根 ${root}，目录行已 seed）`);
 
 	// 8) cleanup：停进程 → 按 keep 决定删不删根 → 摘信号；全程幂等
 	let done = false;
@@ -309,7 +313,8 @@ function teardownReport(root: string, port: number): string[] {
 		"  src/    后端模块源码树（src/<name>/api，拷自 cli 内置模板）",
 		"  dist/api/  构建产物（安装目标）",
 		"  bin/    oj 二进制与插件（拷贝自源工程）",
-		"  cdn/    隔离 CDN（fixture 包 + 两份索引 + 签名）",
+		"  cdn/    隔离 CDN（fixture 包 + .sig 旁车）",
+		"  db.sqlite  含 market_release 目录行（seed 直写）",
 		`监听端口：127.0.0.1:${port}（进程已停）`,
 		`手动清理：rm -rf ${root}`,
 	];

package/src/market/command.ts

@@ -1,19 +1,20 @@
 /**
- * `ojm market <sub>` 参数面（T3–T5 的命令入口）。
+ * `ojm market <sub>` 参数面（A6：远端发布形态）的命令入口。
  *
- * 只做参数解析 + 调库函数：所有真逻辑都在同目录的 publish / build-index / setup 里，
+ * 只做参数解析 + 调库函数：所有真逻辑都在同目录的 remote-push / publish / setup 里，
  * 这里不掺业务，便于测试直接打函数而不走 argv。
+ *
+ * 发布缺省 = 远端签名推送（--site-url / OJM_SITE_URL）；yank = 远端签名下线（同名发现面）。
+ * 索引面（build-index）随 DB 目录化退役——目录真源 = 站点 market_release 表。
  */
 
 import process from "node:process";
 
-import { buildIndex } from "./build-index";
-import { publishPackage } from "./publish";
+import { remotePublish, remoteYank } from "./remote-push";
 import { setupMarketUrl } from "./setup";
 import { trialCommand } from "./trial";
 import { verifyMarket } from "./verify";
 import { walkthroughCommand } from "./walkthrough";
-import { markYanked } from "./yank-ledger";
 
 interface Flags {
 	id?: string
@@ -25,9 +26,10 @@ interface Flags {
 	pass?: string
 	newPass?: string
 	registryId?: string
-	rebuildIndex?: boolean
 	check?: boolean
-	/** yank：操作人（审计留痕；缺省 "local-cli"） */
+	/** yank：恢复（unyank）；缺省 = 下线 */
+	restore?: boolean
+	/** yank：操作人（审计留痕；缺省由站点记 key_id） */
 	by?: string
 	/** yank：下线原因（审计留痕；可选） */
 	reason?: string
@@ -39,8 +41,8 @@ function parseFlags(argv: string[]): Flags {
 	const flags: Flags = {};
 	for (let i = 0; i < argv.length; i++) {
 		const arg = argv[i]!;
-		if (arg === "--rebuild-index") {
-			flags.rebuildIndex = true;
+		if (arg === "--restore") {
+			flags.restore = true;
 			continue;
 		}
 		if (arg === "--check") {
@@ -84,45 +86,45 @@ export async function marketCommand(sub: string, argv: string[]): Promise<void>
 			// 位置参数：<name>@<version>（非 -- 开头的首个 token）
 			const target = argv.find(a => !a.startsWith("--"));
 			if (target === undefined || !target.includes("@"))
-				throw new Error("[ojm] 用法：ojm market yank <name>@<version> [--by <操作人>] [--reason <原因>]");
+				throw new Error("[ojm] 用法：ojm market yank <name>@<version> --site-url <url> --id <签名身份> [--key <pem>] [--reason <原因>] [--by <操作人>] [--restore]");
 			const at = target.indexOf("@");
 			const name = target.slice(0, at);
 			const version = target.slice(at + 1);
-			const by = flags.by ?? "local-cli";
-			// 重建索引须给签名身份——先校验再落账，避免「账本已记 yank 但索引未重建」的半成品态
-			if (flags.id === undefined)
-				throw new Error("[ojm] yank 须给定 --id <签名身份> 才能重建索引生效——请补 --id 后重试，已下线条目将随即写进分片正文（REG-CS4）");
-			const r = markYanked(process.cwd(), name, version, { by, reason: flags.reason });
-			if (r.created)
-				console.log(`[ojm] 已下线 ${name}@${version}（操作人 ${by}${flags.reason !== undefined ? `，原因：${flags.reason}` : ""}）——重建索引以生效`);
-			else
-				console.log(`[ojm] ${name}@${version} 此前已下线，幂等跳过`);
-			// 重建索引让 yanked 标记进分片正文（REG-CS4：latest 跳过 + 安装侧精确版本拒装）
-			await buildIndex({ id: flags.id, key: flags.key, check: flags.check });
+			// 签名下线：DB 目录行级（清单即摘除、详情保留 yanked 标记）；不动已装方案。
+			// --id 语义 = 签名身份（须为该行发布者，服务端 403 仲裁）——索引重建约束随索引退役消失
+			const r = await remoteYank({
+				siteUrl: flags.siteUrl,
+				name,
+				version,
+				restore: flags.restore === true,
+				reason: flags.reason,
+				by: flags.by,
+				id: flags.id,
+				key: flags.key,
+			});
+			console.log(flags.restore === true
+				? (r.idempotent ? `[ojm] ${name}@${version} 此前已恢复，幂等跳过` : `[ojm] 已恢复 ${name}@${version}（重新在架）`)
+				: (r.idempotent ? `[ojm] ${name}@${version} 此前已下线，幂等跳过` : `[ojm] 已下线 ${name}@${version}——清单已摘除，新装/升级被阻断（已装方案不受影响）`));
 			return;
 		}
 		case "publish": {
-			await publishPackage({
+			// 缺省远端签名推送（v4 §五：本地-only 落盘模式退役——DB 模式下本地落盘 = 市场不可见）；
+			// 本地落盘仅内部通道保留（walkthrough/trial 隔离站点双写用 publishPackage）
+			await remotePublish({
+				siteUrl: flags.siteUrl,
 				fixture: flags.fixture,
 				real: flags.real,
 				id: flags.id,
 				key: flags.key,
 				check: flags.check,
 				registryId: flags.registryId,
-				rebuildIndex: flags.rebuildIndex === true,
 			});
-			if (flags.rebuildIndex === true)
-				await buildIndex({ id: flags.id, key: flags.key, check: flags.check });
 			return;
 		}
 		case "verify": {
-			const result = verifyMarket({ file: flags.fixture === undefined ? undefined : flags.fixture, rebuildCheck: flags.rebuildIndex });
+			const result = verifyMarket({ file: flags.fixture === undefined ? undefined : flags.fixture });
 			for (const check of result.checks)
 				console.log(`${check.ok ? "✓" : "✗"} ${check.item}：${check.detail}`);
-			if (result.drift !== undefined && result.drift.length > 0) {
-				for (const line of result.drift)
-					console.log(`✗ 索引漂移：${line}`);
-			}
 			console.log(result.conclusion);
 			if (!result.passed)
 				process.exitCode = 1;
@@ -136,16 +138,12 @@ export async function marketCommand(sub: string, argv: string[]): Promise<void>
 			await walkthroughCommand(argv);
 			return;
 		}
-		case "build-index": {
-			await buildIndex({ id: flags.id, key: flags.key, check: flags.check });
-			return;
-		}
 		case "setup": {
 			const result = await setupMarketUrl({ siteUrl: flags.siteUrl, user: flags.user, pass: flags.pass, newPass: flags.newPass });
 			console.log(`[ojm] 站点 ${result.siteUrl} 的市场地址已指向 ${result.cdnBaseUrl}`);
 			return;
 		}
 		default:
-			throw new Error(`[ojm] 未知子命令：ojm market ${sub}\n可用：setup / publish / yank / build-index / verify / trial / walkthrough`);
+			throw new Error(`[ojm] 未知子命令：ojm market ${sub}\n可用：setup / publish / yank / verify / trial / walkthrough`);
 	}
 }

package/src/market/db-seed.ts

@@ -0,0 +1,129 @@
+/**
+ * market_release 直写 seed（A6，计划 v4 §五「站点内部通道，不走上传签名面」）：
+ * `ojm market trial` / `walkthrough` 的隔离站点目录来源。
+ *
+ * 为什么直写 DB：DB 目录化后安装解析/index 卡片/releases 全部直读 market_release 表——
+ * 隔离站点要把 fixture 变成「可装」，必须让目录行存在；上传签名面是给发布者的远端通道，
+ * 试车夹具不该依赖它（签名/信任库/限速全是被测面之外的噪音）。oj serve 起站时迁移已
+ * 应用（migrate_on_start），本模块在其后单写——隔离场景 CLI 是唯一写者，无并发。
+ *
+ * 行内容与上传端点落库口径同源：sha256/size 实重算、签名四列取 .sig 旁车、manifest 取
+ * 包内嵌抽取物（clamp 口径照抄服务端钳制——catalog 展示字段 ≤200/≤2000，全量 manifest
+ * 仍在包内）。
+ */
+
+import { createHash } from "node:crypto";
+import { readFileSync } from "node:fs";
+import { DatabaseSync } from "node:sqlite";
+
+import { parse as yamlParse } from "yaml";
+import { readTgz } from "./scan";
+
+/** .sig 旁车六字段（与契约 C2-35 同构） */
+interface SidecarSig {
+	alg: string
+	key_id: string
+	public_key: string
+	value: string
+	canon: string
+	registry_id: string
+}
+
+function parseSidecar(tgzPath: string): SidecarSig {
+	const sig = JSON.parse(readFileSync(`${tgzPath}.sig`, "utf-8")) as Partial<SidecarSig>;
+	const missing = (["alg", "key_id", "public_key", "value", "registry_id"] as const).filter(k => typeof sig[k] !== "string");
+	if (missing.length > 0)
+		throw new Error(`[ojm] seed 目录行失败：${tgzPath}.sig 旁车字段不全（须 alg/key_id/public_key/value/registry_id；缺 ${missing.join("/")}）`);
+	return sig as SidecarSig;
+}
+
+/** 包内嵌根 manifest 抽取物（坏包 fail-closed：试车夹具不该有坏包） */
+function manifestOf(tgzPath: string): Record<string, unknown> {
+	const entries = readTgz(new Uint8Array(readFileSync(tgzPath)));
+	const root = entries.find(e => /^(?:[^/]+\/)?manifest\.yaml$/.test(e.name));
+	if (root === undefined)
+		throw new Error(`[ojm] seed 目录行失败：${tgzPath} 包内缺 manifest.yaml`);
+	return (yamlParse(root.content.toString("utf-8")) ?? {}) as Record<string, unknown>;
+}
+
+/** 入库钳制（与上传端点 clampManifest 同源口径：catalog 展示字段截断，全量 manifest 仍在包内） */
+function clampManifest(m: Record<string, unknown>): Record<string, unknown> {
+	const out = { ...m };
+	if (typeof out.summary === "string" && out.summary.length > 200)
+		out.summary = out.summary.slice(0, 200);
+	if (typeof out.description === "string" && out.description.length > 2000)
+		out.description = out.description.slice(0, 2000);
+	return out;
+}
+
+/**
+ * upsert 一行目录（trial/walkthrough 发布 fixture 的内部通道）。
+ * 同 product@version 重 seed = 全列覆盖（试车语义：最后一次 seed 为准）。
+ */
+export function seedMarketRelease(dbPath: string, opts: { tgzPath: string, now?: number }): void {
+	const tgzPath = opts.tgzPath;
+	const at = opts.now ?? Math.floor(Date.now() / 1000);
+	const bytes = new Uint8Array(readFileSync(tgzPath));
+	const sig = parseSidecar(tgzPath);
+	const manifest = clampManifest(manifestOf(tgzPath));
+	if (typeof manifest.name !== "string" || manifest.name === "")
+		throw new Error(`[ojm] seed 目录行失败：${tgzPath} 包内 manifest 缺 name`);
+	if (typeof manifest.version !== "string" || manifest.version === "")
+		throw new Error(`[ojm] seed 目录行失败：${tgzPath} 包内 manifest 缺 version`);
+	const db = new DatabaseSync(dbPath);
+	try {
+		db.prepare(
+			`INSERT INTO market_release (product,version,key_id,sha256,size,published_at,published_at_source,yanked,first_seen_at,sig_alg,sig_value,sig_public_key,sig_registry_id,manifest)
+			 VALUES (?,?,?,?,?,?,?,?,?,?,?,?,?,?)
+			 ON CONFLICT(product,version) DO UPDATE SET
+			   key_id=excluded.key_id, sha256=excluded.sha256, size=excluded.size,
+			   published_at=excluded.published_at, published_at_source=excluded.published_at_source,
+			   yanked=excluded.yanked, sig_alg=excluded.sig_alg, sig_value=excluded.sig_value,
+			   sig_public_key=excluded.sig_public_key, sig_registry_id=excluded.sig_registry_id,
+			   manifest=excluded.manifest`,
+		).run(
+			manifest.name,
+			manifest.version,
+			sig.key_id,
+			createHash("sha256").update(bytes).digest("hex"),
+			bytes.byteLength,
+			at,
+			"upload",
+			0,
+			at,
+			sig.alg,
+			sig.value,
+			sig.public_key,
+			sig.registry_id,
+			JSON.stringify(manifest),
+		);
+	}
+	finally {
+		db.close();
+	}
+}
+
+/** 摘除一行目录 + 其字节（neg op 收尾；walkthrough 恢复主链路原状用） */
+export function removeMarketRelease(dbPath: string, name: string, version: string): void {
+	const db = new DatabaseSync(dbPath);
+	try {
+		db.prepare("DELETE FROM market_release WHERE product = ? AND version = ?").run(name, version);
+	}
+	finally {
+		db.close();
+	}
+}
+
+/**
+ * 行签名列置 NULL（遗留目录行形态——neg-nosig：锚定「无签名行拒装」的 fail-closed 语义；
+ * 上传通道恒写四列，唯有 seed/遗留路径能造出 NULL 行）。
+ */
+export function nullReleaseSig(dbPath: string, name: string, version: string): void {
+	const db = new DatabaseSync(dbPath);
+	try {
+		db.prepare("UPDATE market_release SET sig_alg = NULL, sig_value = NULL, sig_public_key = NULL, sig_registry_id = NULL WHERE product = ? AND version = ?").run(name, version);
+	}
+	finally {
+		db.close();
+	}
+}

package/src/market/failure-playbook.ts

@@ -21,13 +21,13 @@ export const FAILURE_PLAYBOOK: FailurePlaybookEntry[] = [
 	{
 		code: "sig_missing",
 		stage: "verifying",
-		cause: "分发包未签名：发布方未做 detached 签名，或 CDN 目录里 .sig 被裁剪",
-		next: "请发布方重发 `ojm market publish --check` 复核签名后重建索引",
+		cause: "分发包未签名：发布方未做 detached 签名，或目录行无签名列（遗留行未经回填）",
+		next: "请发布方重发 `ojm market publish --check` 复核签名；遗留行跑站点扫描回填补齐",
 	},
 	{
 		code: "tampered",
 		stage: "verifying",
-		cause: "包体或签名与索引不符：分发包被篡改，或同版本号被换包重发",
+		cause: "包体与目录行 sha256 不符：分发包被篡改，或同版本号被换包重发",
 		next: "从可信源重新获取分发包；发布方应升版本号重发（同版本号只允许一份字节）",
 	},
 	{
@@ -42,12 +42,6 @@ export const FAILURE_PLAYBOOK: FailurePlaybookEntry[] = [
 		cause: "包内迁移最大 seq 低于账本 head：禁降版部署（OJ-9 红线），库保持原状",
 		next: "正道是升级到新版本；确需回退请联系运维走对账自愈，勿强行降版",
 	},
-	{
-		code: "index_sig",
-		stage: "安装前（索引解析）",
-		cause: "市场索引签名校验失败：catalog.yaml / shards/*.yaml 被篡改或签名与字节不符",
-		next: "重建索引并签名 `ojm market build-index`；同时核对 CDN 目录写入来源",
-	},
 	{
 		code: "zip_slip",
 		stage: "安装前（上传校验）",

package/src/market/fixture.ts

@@ -126,12 +126,8 @@ function cssClassOf(name: string, version: string): string {
 	return `${name}-v${version.replace(/[^0-9A-Z]/gi, "-")}`;
 }
 
-/**
- * 方案清单（Form A：archive 只写 file，sha256/size 由索引侧填 Form B）。
- * 导出给 build-index 的体积实测用：需求 §7 估「单条 Form B ≈535–684B」偏乐观——本形态
- * 实测 945B YAML、进索引 ≈1.2KB/条，SHARD_MAX_VERSIONS 的 1000 校准即以它为据。
- */
-export function solutionManifest(name: string, version: string): Record<string, unknown> {
+/** fixture 包的根 manifest（Form A：archive 只写 file，sha256/size 由服务端组表填 Form B） */
+function solutionManifest(name: string, version: string): Record<string, unknown> {
 	return {
 		name,
 		version,