@sema-agent/server 7.125.1 → 7.127.0

package/deploy/sema-up/README.md

@@ -78,7 +78,7 @@ summary 会打印手动接法。
 | `--teardown` / `--teardown-volumes` | — | 卸载(留数据 / 连卷删) |
 | `--skip-preflight` | — | 跳过预检(不建议) |
 
-### 取值旗的形(7.104.0,S-621)
+### 取值旗的形(7.104.0)
 
 一条规则:**每只取值旗都过形判**,不合 ⇒ 在建任何目录、写任何文件之前非零退出,拒句点名旗、收到的值、合法形。
 判据与闭集词表只在 `lib/flagshape.sh` 定义一次(sema-up / kube-up / cluster-up / preflight / smoke 同读;`--help` 的词表从它渲)。

package/deploy/sema-up/chart/templates/networkpolicy-sandbox.yaml

@@ -0,0 +1,57 @@
+{{- /*
+沙箱出网白名单(values: sandbox.networkPolicy)。沙箱 pod 由 server 的 k8s 车道按需创建、无固定标签,
+所以 podSelector 选整个 ns。只写 egress:沙箱不需要任何入站(server 经 k8s API exec 进去,不走网络)。
+放行:kube-dns 53;对象存储(chart 自带 MinIO 9000 + objectStore 点名的脸);IPv4 公网面(包源 / 代码托管)——
+私网 / 共享 / 链路本地 / 环回六段整段除外,公网面上的集群地址(clusterCidrs、nodeCidrs = 全部节点的 IPv4 地址)再除外。
+IPv6 不写放行规则(NetworkPolicy 只有放行规则:写 ::/0 只会放宽,执行 v6 的集群上 v6 出网因此只剩上面点名的集群内脸;
+只执行 IPv4 的集群上 pod 的 v6 不受策略管,要关在 pod 侧 —— sandbox.ipv6)。
+这张策略是收窄,不是边界:pod 所在节点的往来流量是否放行由 CNI 的实现决定;宿主上 DNAT 的发布端口
+(docker -p 一类)在策略评估之前改写目的地址,经任何节点地址都可能到达;CNI 不执行 NetworkPolicy 时整张不生效。
+server 起服时读节点表与本策略,读出的缺口每个一行 sandbox_egress_policy_gap。
+*/ -}}
+{{- if .Values.sandbox.networkPolicy.enabled }}
+{{- $np := .Values.sandbox.networkPolicy }}
+{{- if not $np.nodeCidrs }}{{ fail "sandbox.networkPolicy.nodeCidrs 必填(全部节点的 IPv4 地址,/32;kube-up 遍历节点自动填)" }}{{ end }}
+{{- range $k, $list := dict "clusterCidrs" $np.clusterCidrs "nodeCidrs" $np.nodeCidrs }}
+{{- range $list }}
+{{- if or (not (contains "/" .)) (contains ":" .) }}{{ fail (printf "sandbox.networkPolicy.%s 的 %q 不是带前缀的 IPv4 CIDR(例 203.0.113.7/32;IPv6 没有放行规则,不用列)" $k .) }}{{ end }}
+{{- end }}
+{{- end }}
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: sema-sandbox-egress
+  namespace: {{ .Values.sandbox.namespace }}
+spec:
+  podSelector: {}
+  policyTypes: ["Egress"]
+  egress:
+    - to:
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: kube-system }
+          podSelector:
+            matchLabels: { k8s-app: kube-dns }
+      ports:
+        - { protocol: UDP, port: 53 }
+        - { protocol: TCP, port: 53 }
+    - to:
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: {{ .Release.Namespace }} }
+          podSelector:
+            matchLabels: { app: sema-minio }
+      ports:
+        - { protocol: TCP, port: 9000 }
+{{- range $np.objectStore }}
+    - to:
+        - namespaceSelector:
+            matchLabels: { kubernetes.io/metadata.name: {{ .namespace | default $.Release.Namespace }} }
+          podSelector:
+            matchLabels: {{ toJson .podLabels }}
+      ports:
+        - { protocol: TCP, port: {{ .port }} }
+{{- end }}
+    - to:
+        - ipBlock:
+            cidr: 0.0.0.0/0
+            except: {{ concat (list "10.0.0.0/8" "172.16.0.0/12" "192.168.0.0/16" "100.64.0.0/10" "169.254.0.0/16" "127.0.0.0/8") $np.clusterCidrs $np.nodeCidrs | uniq | toJson }}
+{{- end }}

package/deploy/sema-up/chart/templates/sandbox-rbac.yaml

@@ -1,4 +1,4 @@
-# ── 沙箱 lane RBAC(k8s+kata;五动词)────────────────────────────────
+# ── 沙箱 lane RBAC(k8s+kata;pod 五动词 + 缓存卷四动词 + 出网自检的两只只读:本 ns 的 NetworkPolicy、集群的节点表)────────────────────────────────
 apiVersion: v1
 kind: ServiceAccount
 metadata:
@@ -29,6 +29,14 @@ rules:
   - apiGroups: [""]
     resources: [pods/log]
     verbs: [get]
+  # 按工作区空间的构建缓存卷(WORKSPACE_CACHE=volume):连沙箱时按名读、没有就建;空间结束(会话删除 / 留存 sweep)按标签回收
+  - apiGroups: [""]
+    resources: [persistentvolumeclaims]
+    verbs: [get, create, delete, deletecollection]
+  # 起服的出网自检读本 ns 的 NetworkPolicy(只读)
+  - apiGroups: [networking.k8s.io]
+    resources: [networkpolicies]
+    verbs: [get, list]
 ---
 apiVersion: rbac.authorization.k8s.io/v1
 kind: RoleBinding
@@ -43,3 +51,26 @@ subjects:
   - kind: ServiceAccount
     name: sema-runner
     namespace: {{ .Values.sandbox.namespace }}
+---
+# 出网自检读节点表(节点是集群级对象 ⇒ ClusterRole;只读两动词)。没给 ⇒ server 起服一行 sandbox_egress_policy_gap{kind: unreadable}。
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata:
+  name: sema-runner-nodes-{{ .Values.sandbox.namespace }}
+rules:
+  - apiGroups: [""]
+    resources: [nodes]
+    verbs: [get, list]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRoleBinding
+metadata:
+  name: sema-runner-nodes-{{ .Values.sandbox.namespace }}
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: ClusterRole
+  name: sema-runner-nodes-{{ .Values.sandbox.namespace }}
+subjects:
+  - kind: ServiceAccount
+    name: sema-runner
+    namespace: {{ .Values.sandbox.namespace }}

package/deploy/sema-up/chart/templates/server-v4pro.yaml

@@ -56,11 +56,11 @@ spec:
             - { name: MODEL_ID, value: {{ required "serverV4pro.modelId is required" .Values.serverV4pro.modelId | quote }} }
             - { name: MODEL_API_KEY, valueFrom: { secretKeyRef: { name: sema-server-env, key: MODEL_API_KEY } } }
             - { name: MODEL_VISION, value: {{ .Values.server.modelVision | quote }} }
-            {{/* S-600:租户姿态与主 worker 同值(文件头「同 env 面」的承诺;修前缺席 ⇒ 主 worker 多租时本只仍单用户)。 */}}
+            {{/* 租户姿态与主 worker 同值(文件头「同 env 面」的承诺;修前缺席 ⇒ 主 worker 多租时本只仍单用户)。 */}}
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
             - { name: REMOTE_EXEC, value: k8s }
-            {{/* S-599:车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
+            {{/* 车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
                  变成拒启而不是安静的无手 worker。server 侧默认仍 off,sema-up 产物一律写 true。 */}}
             - { name: REQUIRE_EXECUTION_LANE, value: "true" }
             - { name: K8S_API_URL, value: "https://kubernetes.default.svc" }
@@ -70,6 +70,7 @@ spec:
             - { name: K8S_NAMESPACE, value: {{ .Values.sandbox.namespace }} }
             - { name: K8S_RUNTIME_CLASS, value: {{ .Values.sandbox.runtimeClass }} }
             - { name: K8S_SANDBOX_IMAGE, value: {{ .Values.sandbox.image | quote }} }
+            - { name: K8S_SANDBOX_IPV6, value: {{ .Values.sandbox.ipv6 | quote }} }
             - { name: K8S_TOKEN, valueFrom: { secretKeyRef: { name: sema-runner-token-copy, key: token } } }
           readinessProbe:  # the only probe path is /readyz (/health is diagnostic, always 200)
             httpGet: { path: /readyz, port: 8090 }

package/deploy/sema-up/chart/templates/server.yaml

@@ -71,7 +71,7 @@ spec:
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
             - { name: REMOTE_EXEC, value: k8s }
-            {{/* S-599:车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
+            {{/* 车道点名了就显式表态「这台有手」——REQUIRE_EXECUTION_LANE 让「车道被谁改没了」
                  变成拒启而不是安静的无手 worker。server 侧默认仍 off,sema-up 产物一律写 true。 */}}
             - { name: REQUIRE_EXECUTION_LANE, value: "true" }
             - { name: K8S_API_URL, value: "https://kubernetes.default.svc" }
@@ -83,6 +83,7 @@ spec:
             - { name: K8S_RUNTIME_CLASS, value: {{ .Values.sandbox.runtimeClass }} }
 {{- end }}
             - { name: K8S_SANDBOX_IMAGE, value: {{ .Values.sandbox.image | quote }} }
+            - { name: K8S_SANDBOX_IPV6, value: {{ .Values.sandbox.ipv6 | quote }} }
             - { name: K8S_TOKEN, valueFrom: { secretKeyRef: { name: sema-runner-token-copy, key: token } } }
           readinessProbe:  # the only probe path is /readyz (/health is diagnostic, always 200)
             httpGet: { path: /readyz, port: 8090 }

package/deploy/sema-up/chart/values.yaml

@@ -110,6 +110,28 @@ sandbox:
   # 小巧默认,重任务用 sandboxImageProfile 按需选 code-python/code-full 等,Hub 池 public 匿名可拉)。
   # 裸 OS 镜像(如 ubuntu)没有 pkg-source hook——sandboxPkgSource=global 时官方源不会材料化,别退回。
   image: docker.io/claybobby/code-node:20260707-749ab84f5fdd-786f5ef10ffd
+  # 沙箱 pod 的 IPv6(→ server env K8S_SANDBOX_IPV6;词:enabled | disabled —— 不写 on/off,YAML 会读成布尔):
+  #   disabled = pod 级 sysctl 关 IPv6(net.ipv6.conf.all / default.disable_ipv6=1)。两只都不在 k8s 的 safe sysctl 表里 ⇒
+  #   每个节点的 kubelet 要 --allowed-unsafe-sysctls 点名它们,否则沙箱 pod 起不来;沙箱 ns 不能 enforce PodSecurity baseline。
+  #   enabled = 不动 pod(缺省):只执行 IPv4 的出网策略(k3s 单栈缺省即是)管不到 pod 的 IPv6,server 起服每次一行提醒。
+  ipv6: enabled
+  # 沙箱出网策略(NetworkPolicy,egress 白名单;要集群 CNI 带 NetworkPolicy 控制器 —— k3s 缺省自带):
+  #   放行 = DNS(kube-dns)+ 对象存储(chart 自带的 MinIO 9000,加 objectStore 点名的脸)+ IPv4 公网面;
+  #   拒   = 私网 / 共享 / 链路本地 / 环回六段(10/8、172.16/12、192.168/16、100.64/10、169.254/16、127/8)整段,
+  #          加公网面上的集群地址:clusterCidrs(pod / service 段,k3s 缺省值;别的发行版按实填)与 nodeCidrs;IPv6 不写地址块放行(只剩上面点名的集群内脸)。
+  #   nodeCidrs = 全部节点的全部 IPv4 Internal / External 地址(/32;kube-up 遍历节点自动填),enabled 时必填;两张表只收带前缀的
+  #   IPv4 CIDR。手写 values 的部署按实列,新加节点要补(server 起服会把落在放行面里的节点地址逐个报 sandbox_egress_policy_gap)。
+  #   射程:这是收窄、不是边界 —— pod 所在节点的往来流量是否放行由 CNI 实现决定;宿主上 DNAT 的发布端口(docker -p 一类)在策略
+  #   评估之前改写目的地址,经任何节点地址都可能到达;要访问私网里的包源 / 代码托管,在沙箱 ns 另建一条 NetworkPolicy 放行那个
+  #   地址(策略按并集叠加)。
+  #   objectStore = 集群内还要放行的对象存储脸(pod 标签 + 端口;namespace 省略 = 跟本 release 的 ns):s3PublicEndpoint 指向
+  #   NodePort 时,沙箱打到节点 IP 的流量被 kube-proxy DNAT 到背后的反代 pod,策略看到的是那个 pod —— 所以要按 pod 点名。
+  networkPolicy:
+    enabled: true
+    clusterCidrs: ["10.42.0.0/16", "10.43.0.0/16"]
+    nodeCidrs: []
+    objectStore:
+      - { podLabels: { app: sema-ip-proxy }, port: 8445 }
 
 # 私有 registry 拉取(6b:secret 由 cluster-up 建 + patch default SA;这里的显式引用是纵深,
 # 留空=只靠 SA 注入)

package/deploy/sema-up/cluster-up.sh

@@ -7,7 +7,7 @@
 #
 # 输入(sema-up.sh 解析 machines.yaml 后注入):
 #   MACHINE_COUNT + MACHINE_<i>_{HOST,USER,SSH_KEY,NAME,ROLE,PRIVATE_IP,PUBLIC_IFACE}
-#   WORK(状态目录,.env 在此)REGION PROJECT USERS(single|multi,缺省 single;S-600:翻成主 worker 的 REQUIRE_PRINCIPAL)
+#   WORK(状态目录,.env 在此)REGION PROJECT USERS(single|multi,缺省 single;翻成主 worker 的 REQUIRE_PRINCIPAL)
 #   SEMA_SERVER_IMAGE(registry 引用)或 SEMA_SERVER_IMAGE_TAR(本地 docker save tar[.gz])二选一
 #   MODEL_GATEWAY_BASEURL MODEL_ID MODEL_API_KEY
 #   ALLOW_SMALL_CLUSTER=true 放行 <3 机(dev/CI 单节点验流程;生产必须 >=3 奇数)
@@ -25,11 +25,11 @@ done
 HERE="$(cd "$(dirname "$_self")" && pwd)"
 unset _self _hops _dir
 # <<< 自身目录
-# `.env` 的文法与全部读写原语只在 lib/envf.sh 定义(S-618 续):本脚本不再有自己的 setk / `. "$ENVF"`。
+# `.env` 的文法与全部读写原语只在 lib/envf.sh 定义:本脚本不再有自己的 setk / `. "$ENVF"`。
 . "$HERE/lib/envf.sh"
-# 「壳怎么接这台引擎」的渲染(S-850;sema-up.sh / kube-up.sh 同一只)。
+# 「壳怎么接这台引擎」的渲染(sema-up.sh / kube-up.sh 同一只)。
 . "$HERE/lib/shell-access.sh"
-# 取值旗的形(S-621):判据与词表同 sema-up.sh 一处定义。
+# 取值旗的形:判据与词表同 sema-up.sh 一处定义。
 . "$HERE/lib/flagshape.sh"
 # 引擎 /health 体里「落在哪个后端」的读法与期望值(smoke.sh / kube-up.sh 同一只)。
 . "$HERE/lib/health.sh"
@@ -46,15 +46,15 @@ CNPG_VERSION="${CNPG_VERSION:-1.30.0}"   # ⚠ in-tree barman 1.31 移除;升版
 LONGHORN_VERSION="${LONGHORN_VERSION:-1.10.0}"
 KATA_VERSION="${KATA_VERSION:-3.21.0}"
 STACK_ENGINE="${STACK_ENGINE:-render}"   # sema-stack 装配引擎:render(as-built 渲染 apply,缺省)| helm
-USERS_GIVEN="${USERS:+1}"                # S-600:显式给没给(缺省之前记下;决策见下方 users_decide)
-USERS="${USERS:-single}"                 # 租户形(S-600):经 principal_of_users 翻成 REQUIRE_PRINCIPAL,两条装配路径同一次翻译
+USERS_GIVEN="${USERS:+1}"                # 显式给没给(缺省之前记下;决策见下方 users_decide)
+USERS="${USERS:-single}"                 # 租户形:经 principal_of_users 翻成 REQUIRE_PRINCIPAL,两条装配路径同一次翻译
 NODEPORT=30890
 
-# 取值旗的形(S-621)——在对任何一台机器发起 ssh 之前。修前:REGION=eu 当成「非 cn 非 global」、STACK_ENGINE=x 当成 render。
+# 取值旗的形——在对任何一台机器发起 ssh 之前。修前:REGION=eu 当成「非 cn 非 global」、STACK_ENGINE=x 当成 render。
 flag_enum "--region(REGION)" "$REGION" $FLAG_WORDS_REGION
 flag_enum "STACK_ENGINE" "$STACK_ENGINE" $FLAG_WORDS_STACK_ENGINE
 flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS
-# S-600:租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(lib/flagshape.sh 的 users_decide)——在任何 ssh 之前判,
+# 租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(lib/flagshape.sh 的 users_decide)——在任何 ssh 之前判,
 # 不带旗的重跑不会把多租部署降成单用户。
 ENVF="$WORK/.env"
 users_decide "$USERS_GIVEN"
@@ -339,10 +339,10 @@ for k in MINIO_PASSWORD SERVICE_AUTH_TOKEN; do
   _v="$(envf_get "$k")" || exit 1
   [ "${#_v}" -ge 32 ] || die "$k 生成失败(openssl rand?)——检查 $ENVF"
 done
-# A(S-618 续):`.env` 不 source —— 只回读本脚本自己落盘的两只凭据;输入键(MODEL_API_KEY / 网关 / 镜像……)
+# `.env` 不 source —— 只回读本脚本自己落盘的两只凭据;输入键(MODEL_API_KEY / 网关 / 镜像……)
 # 以本次传入的环境为准,不再被 .env 旧值覆盖。
 envf_load MINIO_PASSWORD SERVICE_AUTH_TOKEN
-resetk REQUIRE_PRINCIPAL "$(principal_of_users "$USERS")"   # S-600:部署事实(下次不带旗重跑据此沿用租户形)
+resetk REQUIRE_PRINCIPAL "$(principal_of_users "$USERS")"   # 部署事实(下次不带旗重跑据此沿用租户形)
 [ -n "${MODEL_API_KEY:-}" ] || die "需要 MODEL_API_KEY(-f 配置或 --model-key)"
 # PG 实例数/反亲和/副本数按机器数缩放(<3 机=dev:preferred,required 会永久 Pending)
 PG_INSTANCES=$(( MACHINE_COUNT >= 3 ? 3 : MACHINE_COUNT ))

package/deploy/sema-up/kube-up.sh

@@ -27,16 +27,18 @@ HERE="$(cd "$(dirname "$_self")" && pwd)"
 unset _self _hops _dir
 # <<< 自身目录
 # `.env` 的文法与全部读写原语(envf_get / envf_has / envf_load / envf_put / setk / setk_new / resetk)只在这一处
-# 定义,sema-up.sh / cluster-up.sh / smoke.sh 同源(S-618 续):本脚本不再有自己的 setk / has_env / `. "$ENVF"`。
+# 定义,sema-up.sh / cluster-up.sh / smoke.sh 同源:本脚本不再有自己的 setk / has_env / `. "$ENVF"`。
 . "$HERE/lib/envf.sh"
-# 「壳怎么接这台引擎」的渲染(S-850;sema-up.sh / cluster-up.sh 同一只)。
+# 「壳怎么接这台引擎」的渲染(sema-up.sh / cluster-up.sh 同一只)。
 . "$HERE/lib/shell-access.sh"
-# 取值旗的形(S-621):判据与词表同 sema-up.sh 一处定义。
+# 取值旗的形:判据与词表同 sema-up.sh 一处定义。
 . "$HERE/lib/flagshape.sh"
 # 引擎 /health 体里「落在哪个后端」的读法与期望值(smoke.sh / cluster-up.sh 同一只)。
 . "$HERE/lib/health.sh"
 # 对象存储桶的唯一表(sema-up.sh / cluster-up.sh / smoke.sh 同读这一张)。
 . "$HERE/lib/buckets.sh"
+# 集群节点地址的唯一读法(NodePort 入口 + 沙箱出网策略要拒的全部节点地址;同读一份节点表)。
+. "$HERE/lib/node-addrs.sh"
 log() { printf '[kube-up] %s\n' "$*" >&2; }
 die() { log "⛔ $*"; exit 1; }
 
@@ -45,7 +47,7 @@ PROJECT="${PROJECT:-sema}"
 REGION="${REGION:-global}"
 KUBE_MODE="${KUBE_MODE:?KUBE_MODE 未设置(existing|k3s)}"
 DRY_RUN="${DRY_RUN:-false}"
-USERS_GIVEN="${USERS:+1}"   # S-600:显式给没给(缺省 single 之前记下;决策见下方 users_decide)
+USERS_GIVEN="${USERS:+1}"   # 显式给没给(缺省 single 之前记下;决策见下方 users_decide)
 USERS="${USERS:-single}"
 REGISTRY_ENABLED="${REGISTRY_ENABLED:-true}"
 GIT_MODE="${GIT_MODE:-none}"
@@ -53,7 +55,7 @@ NAMESPACE="${NAMESPACE:-sema}"
 CNPG_VERSION="${CNPG_VERSION:-1.30.0}"   # ⚠ in-tree barman 1.31 移除;升版前先迁 barman-cloud plugin
 K3S_CHANNEL="${K3S_CHANNEL:-stable}"
 
-# ── 取值旗的形(S-621)——在装 k3s / 动集群 / 建 WORK 之前 ─────────────────────────────────────────
+# ── 取值旗的形——在装 k3s / 动集群 / 建 WORK 之前 ─────────────────────────────────────────
 # 单独跑时这些环境变量就是本脚本的旗;经 sema-up 进来的值那边已判过,这里同一只再判一次(本脚本自己也是入口)。
 # 修前:DRY_RUN=1 ≠ true ⇒ 当成真装;REGISTRY_ENABLED=yes 当关;USERS=team 当 single;KUBE_MODE=foo 走 existing 那一臂。
 flag_enum "--kube(KUBE_MODE)" "$KUBE_MODE" $FLAG_WORDS_KUBE_SINGLE   # machines 走 cluster-up.sh,不进本脚本
@@ -62,7 +64,7 @@ flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS
 flag_bool "--registry(REGISTRY_ENABLED)" "$REGISTRY_ENABLED"
 flag_enum "--git(GIT_MODE)" "$GIT_MODE" $FLAG_WORDS_GIT
 flag_enum "--region(REGION)" "$REGION" $FLAG_WORDS_REGION
-# S-600:租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(规则与拒句在 lib/flagshape.sh 的 users_decide)——
+# 租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(规则与拒句在 lib/flagshape.sh 的 users_decide)——
 # 在动集群之前判,不带旗的重跑不会把多租部署降成单用户。
 ENVF="$WORK/.env"
 users_decide "$USERS_GIVEN"
@@ -178,7 +180,7 @@ mkdir -p "$WORK"; chmod 700 "$WORK" 2>/dev/null || true
 touch "$ENVF"; chmod 600 "$ENVF"
 setk MINIO_PASSWORD "$(openssl rand -hex 24)"
 setk SERVICE_AUTH_TOKEN "$(openssl rand -hex 24)"
-resetk REQUIRE_PRINCIPAL "$(principal_of_users "$USERS")"   # S-600:部署事实(下次不带旗重跑据此沿用租户形)
+resetk REQUIRE_PRINCIPAL "$(principal_of_users "$USERS")"   # 部署事实(下次不带旗重跑据此沿用租户形)
 NEW_REG_PW=false NEW_GIT_PW=false
 if [ "$REGISTRY_ENABLED" = "true" ]; then
   setk_new REGISTRY_ADMIN_PASSWORD "$(openssl rand -hex 24)" && NEW_REG_PW=true
@@ -194,15 +196,19 @@ for k in MINIO_PASSWORD SERVICE_AUTH_TOKEN; do
   _v="$(envf_get "$k")" || exit 1
   [ "${#_v}" -ge 32 ] || die "$k 生成失败(openssl rand?)——检查 $ENVF"
 done
-# A(S-618 续):`.env` 不 source —— 只回读**本脚本自己落盘**的键(凭据 / 已登记的 OAuth 接线)到同名 shell 变量。
+# `.env` 不 source —— 只回读**本脚本自己落盘**的键(凭据 / 已登记的 OAuth 接线)到同名 shell 变量。
 # 输入键(镜像 / 网关 / 模型 id / MODEL_API_KEY / GIT_URL / GIT_TOKEN)以本次传入的环境为准,不再被 .env 旧值覆盖
 # (旧 source 会拿上一次的 GIT_TOKEN 盖掉这次传进来的新 token —— sema-up.sh connect 段早就踩过、改成了 resetk)。
 envf_load MINIO_PASSWORD SERVICE_AUTH_TOKEN REGISTRY_ADMIN_PASSWORD REGISTRY_SESSION_SECRET REGISTRY_PULL_TOKEN \
   GIT_ADMIN_USER GIT_ADMIN_PASSWORD REGISTRY_GITEA_BASE_URL REGISTRY_GITEA_OAUTH_ID REGISTRY_GITEA_OAUTH_SECRET
 [ -n "${MODEL_API_KEY:-}" ] || die "需要 MODEL_API_KEY(--model-key 或 -f 配置)"
 
-# 节点 IP(NodePort 入口;kind 场景宿主上不可达,summary 会给 port-forward 替代)
-NODE_IP=$($KUBECTL get nodes -o jsonpath='{.items[0].status.addresses[?(@.type=="InternalIP")].address}' | awk '{print $1}')
+# 节点表读一次,两个读数(lib/node-addrs.sh):
+#  · NODE_IP    = 第一只节点的第一只 InternalIP —— NodePort 入口(kind 场景宿主上不可达,summary 会给 port-forward 替代);
+#  · NODE_CIDRS = 全部节点的全部 IPv4 Internal / External 地址(/32)—— 沙箱出网策略的 nodeCidrs(不止 items[0]、不止第一只地址)。
+NODES_JSON="$($KUBECTL get nodes -o json)" || die "读不到节点表(kubectl get nodes)。下一步:核 kubeconfig 与权限"
+NODE_IP="$(node_primary_ip "$NODES_JSON")" || die "节点表里第一只节点没有 InternalIP —— NodePort 入口定不下来。下一步:kubectl get nodes -o wide"
+NODE_CIDRS="$(node_cidrs_json "$NODES_JSON")" || die "节点表里读不出任何 IPv4 节点地址 —— 沙箱出网策略要拒的节点地址列不出来,不装一份漏了节点的策略。下一步:kubectl get nodes -o wide"
 
 # ── 5. helm 装配(凭据经 stdin;两遍:git=provision 时先无 OAuth 起栈,引导完 Gitea
 #    再带 OAuth 升级——registry 第一遍已可表单登录,不是半成品)────────────────────
@@ -217,7 +223,7 @@ helm_values() { # helm_values <giteaBaseUrl> <oauthId> <oauthSecret>
   V_REG_ENABLED="$REGISTRY_ENABLED" V_REG_IMAGE="${SEMA_REGISTRY_IMAGE:-}" \
   V_REG_PW="${REGISTRY_ADMIN_PASSWORD:-}" V_REG_SS="${REGISTRY_SESSION_SECRET:-}" V_REG_PT="${REGISTRY_PULL_TOKEN:-}" \
   V_GITEA_ENABLED="$([ "$GIT_MODE" = provision ] && echo true || echo false)" \
-  V_GITEA_IMAGE="${GITEA_IMAGE:-gitea/gitea:1.24}" V_NODE_IP="$NODE_IP" \
+  V_GITEA_IMAGE="${GITEA_IMAGE:-gitea/gitea:1.24}" V_NODE_IP="$NODE_IP" V_NODE_CIDRS="$NODE_CIDRS" \
   V_MINIO_IMAGE="${MINIO_IMAGE:-}" \
   python3 - <<'PY'
 import json, os
@@ -240,7 +246,8 @@ v = {
     "modelId": e["V_MODEL_ID"], "modelApiKey": e["V_MODEL_KEY"],
     "sandboxPkgSource": e["V_PKG_SOURCE"], "requirePrincipal": e["V_REQ_PRINCIPAL"],
   },
-  "sandbox": {"runtimeClass": e["V_RT_CLASS"]},
+  "sandbox": {"runtimeClass": e["V_RT_CLASS"],
+              "networkPolicy": {"nodeCidrs": json.loads(e["V_NODE_CIDRS"])}},
   "registry": {"enabled": e["V_REG_ENABLED"] == "true", "image": e["V_REG_IMAGE"],
                "storageClass": e["V_SC"], "adminPassword": e["V_REG_PW"],
                "sessionSecret": e["V_REG_SS"], "pullToken": e["V_REG_PT"],
@@ -360,7 +367,7 @@ except Exception: print("")')
     [ -n "$GTOK" ] || die "Gitea access token 生成失败。下一步:kubectl -n $NAMESPACE logs deploy/sema-gitea"
     setk GIT_ADMIN_TOKEN "$GTOK"
   fi
-  envf_load GIT_ADMIN_TOKEN   # A:回读刚生成 / 已存的 token,不 source .env
+  envf_load GIT_ADMIN_TOKEN   # 回读刚生成 / 已存的 token,不 source .env
   if [ "$REGISTRY_ENABLED" = "true" ] && ! envf_has REGISTRY_GITEA_OAUTH_ID; then
     REDIRECT="http://$NODE_IP:30300/api/auth/oauth/callback"
     RESP=$($KUBECTL exec deploy/sema-gitea -n "$NAMESPACE" -- \

package/deploy/sema-up/lib/dataroot.sh

@@ -1,4 +1,4 @@
-# lib/dataroot.sh — 数据根归属的唯一规则(S-851,7.104.0)。sema-up.sh(判定 / 落定 / 卸载提示)与 preflight.sh(多盘机
+# lib/dataroot.sh — 数据根归属的唯一规则(7.104.0)。sema-up.sh(判定 / 落定 / 卸载提示)与 preflight.sh(多盘机
 # 建议句)都从这里取,不各写一份。
 #
 # 规则:一条数据根归**一个**项目所有 ——

package/deploy/sema-up/lib/envf.sh

@@ -1,17 +1,17 @@
 # shellcheck shell=bash
 # lib/envf.sh — sema-up 家族 `.env` 的文法**与全部读写原语**,定义在这一处。
 #
-# 立场(S-618,一次收完 test 实测(srv796)报的一类):`.env` 是**数据**,永不 `source`。值里的
+# 立场(一次收完 test 实测(srv796)报的一类):`.env` 是**数据**,永不 `source`。值里的
 # `$(...)` / 反引号 / `;` / 空白在这里是字符串,不是代码;读值一律经数据解析(envf_get / envf_has /
 # envf_load),写值一律经 envf_put(setk / setk_new / resetk 都落到它),绝不把 `.env` 交给 shell 执行。
 #
 # 使用者 = deploy/sema-up 下所有碰 `.env` 的脚本(sema-up.sh / kube-up.sh / cluster-up.sh / smoke.sh):
 # 各自 `. "$HERE/lib/envf.sh"`,调用前设好 `ENVF`(`.env` 路径)。脚本里**不许**再有自己的 setk /
 # has_env / `. "$ENVF"` / `printf '%s=%s' >> "$ENVF"` / `grep … "$ENVF"` —— 第二套写读规则迟早分叉
-# (test/deploy-lanes-contract.test.ts「S-618 续」两道机器钉)。
+# (test/deploy-lanes-contract.test.ts 里「写口唯一」格与 smoke / kube-up / cluster-up 收进同一文法那一组,共两道机器钉)。
 #
-# **一条文法,两半共用。** 文法的依据是 compose-go dotenv 的**真实**读法(车MV / S-646,k3s8 docker compose 2.40.3
-# 逐形实跑的语料,金样钉在 test/deploy-lanes-contract.test.ts「S-656 + S-646」):一行 `KEY=<右半>` 的右半有三种形,
+# **一条文法,两半共用。** 文法的依据是 compose-go dotenv 的**真实**读法(车MV,k3s8 docker compose 2.40.3
+# 逐形实跑的语料,金样钉在 test/deploy-lanes-contract.test.ts 里「.env 文法与渲染对账对齐 compose 真实语义」那一组):一行 `KEY=<右半>` 的右半有三种形,
 # 每种形里只有少数几个字符会让 compose **改写**读到的值 —— 不碰这几个字符,compose 读到的就是字面量:
 #   · 裸值 `KEY=v`:插值起点(`$` 后跟 `$` / `{` / 字母或 `_`,见 envf_has_interp)、「空格 + `#`」(行内注释;只认 ASCII 空格,`\t#` 是字面)、首尾空白(修剪 —— 开头按
 #     compose-go 自己的 isSpace = ASCII 空白 + U+0085 + U+00A0,结尾按 Go `unicode.IsSpace`,多出全角空格等 16 个)、
@@ -35,7 +35,7 @@
 #    裸写则 bash 语法错)、以奇数个 `\` 结尾(单引号形 compose 闭引号失效;裸写则 bash 当续行吞下一行)⇒ **写之前**响亮拒,
 #    点名键、不回显值,「下一步」按拒因给。写口产物恒在读口文法内(安全裸词 ⊂ 裸值形,单引号编码形 ⊂ 单引号形)⇒ 往返成立。
 #
-# 收编(S-618):7.96.0「写口只拒换行 / 回车」的判据、`envf_get` 的物理行假设,连同曾经的「另立
+# 收编:7.96.0「写口只拒换行 / 回车」的判据、`envf_get` 的物理行假设,连同曾经的「另立
 # 一件做渲染对账」都收进来——写口判据 = 本文件的 `envf_representable`;物理行假设的兜底 = 生成 `.env`
 # 之后、`compose up` 之前那一道 `docker compose config` 渲染对账(sema-up.sh `reconcile_render`,
 # 以 compose 自己为唯一属主)。不再有第二套文法。

package/deploy/sema-up/lib/flagshape.sh

@@ -1,4 +1,4 @@
-# lib/flagshape.sh — 取值旗的形(S-621,7.104.0):一条规则、一处定义(判据 + 词表)。sema-up.sh(参数解析之后、建任何目录之前)、
+# lib/flagshape.sh — 取值旗的形(7.104.0):一条规则、一处定义(判据 + 词表)。sema-up.sh(参数解析之后、建任何目录之前)、
 # kube-up.sh / cluster-up.sh(单独跑时环境变量就是它们的旗)、preflight.sh / smoke.sh 都从这里判,不各写一份。
 #
 # 规则:每只取值旗都过形判;不合 ⇒ 拒句点名旗、收到的值、合法形,非零退出 —— 调用方把判放在任何建目录 / 写文件 / 动集群 /
@@ -7,7 +7,7 @@
 #  · port    —— 1–65535 的十进制整数,不带前导 0 / 正负号 / 空白(前导 0 在 bash 算术里读成八进制);
 #  · enum    —— 列全词(词表就在下面:--help、拒句、交互选项的对拍钉都从这里取,不手抄);
 #  · project —— compose 项目名形(小写字母 / 数字 / - / _,首字符字母或数字):它也是工作目录 ~/.sema-up/<名> 与自动数据根
-#               <盘>/sema-data/<名> 的一段路径(S-851)—— `..` / `/` / 空串会把两者指到别处。
+#               <盘>/sema-data/<名> 的一段路径—— `..` / `/` / 空串会把两者指到别处。
 # 自由文本(URL / 镜像引用 / 路径 / 主机名 / 模型 id / 凭据)不在这里判:合法形不是闭集,各有自己的消费点(落 .env 的值
 # 另过 lib/envf.sh 的写口)。盘点见 deploy/sema-up/README.md「取值旗的形」。
 #
@@ -18,8 +18,8 @@
 # ── 词表(单一属主)──────────────────────────────────────────────────────────────────────────────
 FLAG_WORDS_PROFILE="full-single data-center local-plus full-cluster"
 FLAG_WORDS_USERS="single multi"
-# 租户形 ⇒ 容器上 REQUIRE_PRINCIPAL 的值 —— 这条翻译的**唯一**定义(S-600,7.105.0 从 sema-up.sh 搬来):sema-up 的 compose 生成段 /
-# 事实核对,kube-up 的 helm values,cluster-up 的渲染清单与 helm values 同调这一只(修前 kube-up 另写一份同义翻译,S-619 D5;
+# 租户形 ⇒ 容器上 REQUIRE_PRINCIPAL 的值 —— 这条翻译的**唯一**定义(7.105.0 从 sema-up.sh 搬来):sema-up 的 compose 生成段 /
+# 事实核对,kube-up 的 helm values,cluster-up 的渲染清单与 helm values 同调这一只(修前 kube-up 另写一份同义翻译;
 # cluster-up 一份都没有 ⇒ --users=multi 在 --kube=machines 路径上被静默丢成单用户)。只认两词,别的词先过 flag_enum。
 principal_of_users() { [ "$1" = "multi" ] && echo true || echo false; }
 
@@ -27,7 +27,7 @@ principal_of_users() { [ "$1" = "multi" ] && echo true || echo false; }
 # compose 档同一条规则:**决策 = 显式 USERS ∨ 上一次落在 $ENVF 的部署事实 REQUIRE_PRINCIPAL ∨ single**;显式值与事实
 # 不一致 ⇒ 拒并点名两处(不静默把一台多租部署降成单用户,也不静默把单用户升成多租)。事实 → 租户词只经
 # principal_of_users 反查(两词逐个过正向比,不另写反表);认不出的事实值 ⇒ 拒。设 USERS。
-# S-600 codex 一轮 [high]:machines 路径开始认 --users 之后,一次不带旗的重跑会拿缺省 single 把多租部署的
+# codex 一轮 [high]:machines 路径开始认 --users 之后,一次不带旗的重跑会拿缺省 single 把多租部署的
 # REQUIRE_PRINCIPAL 翻回 false(kube-up 路径此前就同形)—— 事实由两只脚本各自在写凭据的同一处 resetk 落盘。
 # 调用方先 source lib/envf.sh 并定好 ENVF(文件可以还不存在 = 首装,无事实)。
 users_decide() {

package/deploy/sema-up/lib/lanes.py

@@ -14,7 +14,7 @@
   default <users>              打印该租户形下的缺省 choice
   options <users>              每行一个 `ask` 选项串 `value:label[:infeasible=原因|建议]`
   check <choice>               只判「是不是 compose 路径上的在役词」(退役词 / 表外词 ⇒ 拒,与 resolve 同一只判据),
-                               不打印;sema-up 在建工作目录之前拿它判 --sandbox 的形(S-621),租户形那一半留给 resolve
+                               不打印;sema-up 在建工作目录之前拿它判 --sandbox 的形,租户形那一半留给 resolve
   resolve <users> <choice>     校验并打印该车道要落 .env 的 `KEY=VALUE` 行(仅有值的键);
                                必需但由运维自备的键名打印成 `#REQUIRED <NAME>` 注释行(「选了却没给」的早拒读它)
   choice-of <REMOTE_EXEC 值>   部署事实 → `--sandbox` 词的反查(决策 = 显式旗 ∨ 部署事实 ∨ 表缺省):上一次落下的 `REMOTE_EXEC=<值>`

package/deploy/sema-up/lib/node-addrs.sh

@@ -0,0 +1,42 @@
+# lib/node-addrs.sh — 「集群节点有哪些地址」的唯一读法(kube-up 用;输入 = `kubectl get nodes -o json` 的体)。
+#
+# 两个读数,同读一份节点表(一次 kubectl):
+#  · node_primary_ip  —— 第一只节点的第一只 InternalIP:NodePort 入口(Gitea 克隆地址、OAuth 回调、summary 里的访问地址);
+#  · node_cidrs_json  —— 全部节点的全部 IPv4 InternalIP / ExternalIP,各成 /32,去重保序,打印成 JSON 数组:沙箱出网策略
+#    `sandbox.networkPolicy.nodeCidrs`。IPv6 地址不列 —— 策略不写 IPv6 放行规则,v6 地址无可再拒。
+# 读不出 / 零地址 ⇒ 非 0 退出、stdout 空(调用方 die,不渲一份漏了节点的策略)。
+_node_addrs_py() { # _node_addrs_py <primary|cidrs>  (stdin = 节点表 JSON)
+  python3 -c 'import ipaddress, json, sys
+mode = sys.argv[1]
+try:
+  items = json.load(sys.stdin).get("items")
+except Exception:
+  sys.exit(2)
+if not isinstance(items, list):
+  sys.exit(2)
+def addrs(node, kinds):
+  out = []
+  for a in ((node or {}).get("status") or {}).get("addresses") or []:
+    if isinstance(a, dict) and a.get("type") in kinds and isinstance(a.get("address"), str):
+      try:
+        out.append(ipaddress.ip_address(a["address"]))
+      except ValueError:
+        pass
+  return out
+if mode == "primary":
+  first = addrs(items[0], ("InternalIP",)) if items else []
+  if not first:
+    sys.exit(3)
+  print(first[0])
+else:
+  seen = []
+  for n in items:
+    for ip in addrs(n, ("InternalIP", "ExternalIP")):
+      if ip.version == 4 and f"{ip}/32" not in seen:
+        seen.append(f"{ip}/32")
+  if not seen:
+    sys.exit(3)
+  print(json.dumps(seen))' "$1"
+}
+node_primary_ip() { printf '%s' "$1" | _node_addrs_py primary; }
+node_cidrs_json() { printf '%s' "$1" | _node_addrs_py cidrs; }

package/deploy/sema-up/lib/parse-machines.py

@@ -80,7 +80,7 @@ def main(path):
 
     emit("PROFILE", top.get("profile"))
     emit("REGION", top.get("region", "auto"))
-    # S-600(codex 一轮 [high]):不写 users 就**不发射** —— 修前缺省发射 single,等于替运维表了态,sema-up 于是把它当显式旗,
+    # codex 一轮 [high]:不写 users 就**不发射** —— 修前缺省发射 single,等于替运维表了态,sema-up 于是把它当显式旗,
     # 盖掉 `.env` 里上一次落下的部署事实(多租部署不带旗重跑 ⇒ 被降成单用户,或撞事实冲突拒)。缺省归 sema-up 的决策
     # (显式旗 ∨ 部署事实 ∨ 表缺省 single),不在解析器里另立一份。
     emit("USERS", top.get("users"))
@@ -104,7 +104,7 @@ def main(path):
     emit("DP_S3", dp.get("s3", "deploy"))
     emit("DP_BACKUP", dp.get("backup", "true"))
     sb = sections.get("sandbox", {})
-    # S-599:`sandbox.lane` 是**死词**,已删。machines.yaml 只走 kube 路径,而 kube-up.sh 的 runtime
+    # `sandbox.lane` 是**死词**,已删。machines.yaml 只走 kube 路径,而 kube-up.sh 的 runtime
     # 是按 runtimeClass `kata-qemu` 在不在自动定的(kube-up.sh:94-96),从来不读 SANDBOX_LANE ——
     # 发射它只会让运维以为自己选到了什么。**响亮拒**而不是静默忽略:一个设了却没有任何效果的旋钮,
     # 正是本批要消灭的那类病(留着它,下一个人还会照模板填)。

package/deploy/sema-up/lib/shell-access.sh

@@ -1,4 +1,4 @@
-# lib/shell-access.sh — 「壳(sema CLI)怎么接这台引擎」的唯一渲染(S-850,7.104.0)。sema-up.sh(汇总 / dry-run 计划 /
+# lib/shell-access.sh — 「壳(sema CLI)怎么接这台引擎」的唯一渲染(7.104.0)。sema-up.sh(汇总 / dry-run 计划 /
 # `--interactive=json` 的 summary)、kube-up.sh、cluster-up.sh 三条部署路径都调它,不各写一份。
 # 只给**位置**、不给值:令牌在哪只文件的哪个键、在壳里放进哪个变量 —— 本文件的函数不读任何凭据。
 #

package/deploy/sema-up/preflight.sh

@@ -17,9 +17,9 @@ done
 HERE="$(cd "$(dirname "$_self")" && pwd)"
 unset _self _hops _dir
 # <<< 自身目录
-# 自动数据根的路径形只在 lib/dataroot.sh 定义一次(S-851):下面「多盘机」建议句与 sema-up 自动选的根同一条规则。
+# 自动数据根的路径形只在 lib/dataroot.sh 定义一次:下面「多盘机」建议句与 sema-up 自动选的根同一条规则。
 . "$HERE/lib/dataroot.sh"
-# 取值旗的形(S-621):判据与词表同 sema-up.sh 一处定义。
+# 取值旗的形:判据与词表同 sema-up.sh 一处定义。
 . "$HERE/lib/flagshape.sh"
 log() { printf '[preflight] %s\n' "$*" >&2; }
 
@@ -36,7 +36,7 @@ for a in "$@"; do
     --project=*) PROJECT="${a#--project=}" ;;
   esac
 done
-# 取值旗的形(S-621)——在任何探测之前(本脚本只读,但 --json 的 profile 原样进协议行、端口原样进 ss / lsof 的参数)。
+# 取值旗的形——在任何探测之前(本脚本只读,但 --json 的 profile 原样进协议行、端口原样进 ss / lsof 的参数)。
 # profile:sema-up 传它自己的档位词;单独跑的缺省是 full(= 非 data-center 的阈值)。
 flag_enum "--profile" "$PROFILE" full $FLAG_WORDS_PROFILE
 flag_project "--project" "$PROJECT"
@@ -122,7 +122,7 @@ if [ -n "$BEST_MNT" ] && [ "$BEST_MNT" != "/" ] && [ "$BEST_GB" -gt "${DISK_GB:-
   add WARN disk-alt "$BEST_MNT ${BEST_GB}G avail" "存在比 / 更大的数据盘(多盘机)" "--data-root=$(dataroot_for_disk "$BEST_MNT" "$PROJECT")(sema-up 未显式指定时会自动选它;数据根按项目分)"
 fi
 
-# ── KVM(**kube 路径**的 kata runtimeClass 前提;compose 路径已无需要 KVM 的车道,S-599)────────
+# ── KVM(**kube 路径**的 kata runtimeClass 前提;compose 路径已无需要 KVM 的车道)────────
 # 有 KVM ⇒ 走 full-cluster 时 kata-deploy 能装上,沙箱得 VM 级隔离;没有 ⇒ kube 路径退 runc 容器
 # 隔离(仍是真隔离,只是弱于 VM)。两种都不是 BLOCK:单机 compose 路径的车道(host / e2b-cloud)
 # 与 KVM 无关。