@sleep2agi/commhub-server 0.9.0-preview.44 → 0.9.0-preview.45

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sleep2agi/commhub-server",
-  "version": "0.9.0-preview.44",
+  "version": "0.9.0-preview.45",
   "description": "CommHub Server — AI Agent communication hub with MCP protocol, multi-network isolation, user auth, and MCP tools (17 collaboration-core + node/provider ops tools; authoritative list: docs-site/docs/api/mcp-tools.md).",
   "type": "module",
   "main": "src/index.ts",

package/src/admin-networks-http.test.ts

@@ -25,6 +25,10 @@ async function listNetworks(token: string): Promise<any[]> {
   return body.networks;
 }
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   const { db } = await import("./db.js");
   const { createNetworkTokenForNode, register } = await import("./auth.js");
@@ -51,7 +55,7 @@ beforeAll(async () => {
   const mod = await import("./server.js");
   server = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   base = `http://127.0.0.1:${server.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop(true); } catch {}

package/src/api-host-supervisors-fallback.test.ts

@@ -38,6 +38,10 @@ let soloNetworkId = "";
 let multiNetworkA = "", multiNetworkB = "";
 let soloDaemonAlias = "";
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   process.env.HOST = "127.0.0.1";
 
@@ -116,7 +120,7 @@ beforeAll(async () => {
   server = bootServer({ port: 0, hostname: "127.0.0.1" });
   BASE = `http://127.0.0.1:${server.port}`;
   await new Promise((r) => setTimeout(r, 100));
-});
+}, 30_000);
 
 // Insert a minimal `nodes` row + `api_tokens` row so the daemon shows up
 // in /api/host-supervisors' JOIN-then-role-filter query (index.ts

package/src/auth-validate.test.ts

@@ -10,13 +10,17 @@ import { register } from "./auth.js";
 
 // First user gets RELAXED rules (admin bootstrap allows 4-char "anethub" etc.)
 // To test full-strength rules, seed a dummy admin first.
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(() => {
   // Idempotent: if DB file already has users (from a previous run on the
   // same temp path), this errors with "username already taken" → that's
   // fine, the goal is just "ensure at least one user exists so subsequent
   // registers hit the strict path".
   register("_seed_admin", "BootstrapPw1", undefined, "seed");
-});
+}, 30_000);
 
 describe("register — username rules", () => {
   it("rejects empty username", () => {

package/src/dashboard-slash-routing-http.test.ts

@@ -18,6 +18,10 @@ let nodeToken = "";
 let networkId = "";
 let requestSequence = 0;
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   process.env.COMMHUB_DB = process.env.COMMHUB_DB || join(PRIVATE_DB_DIR, "hub.db");
   const username = `dashboard_slash_${Date.now()}`;
@@ -42,7 +46,7 @@ beforeAll(async () => {
   const mod: any = await import("./server.js");
   server = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   base = `http://127.0.0.1:${server.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop?.(true); } catch {}

package/src/db.ts

@@ -540,6 +540,37 @@ try {
   console.warn(`[commhub] partial unique index uniq_ncu_node_inflight skipped: ${e?.message || e}`);
 }
 
+// ── app#225: 节点规则文件（AGENTS.md / CLAUDE.md）远程读写请求 ──
+//
+// 形状照抄 node_config_updates（上面）：客户端落一行 + 门铃，节点拉走做完回报，
+// 客户端轮询结果。network_id 同样在插入时从 nodes 反规范化。
+//
+// 🔴 这张表**故意没有路径列**：文件名由节点按自己的 RUNTIME 决定
+// （claude → CLAUDE.md，其余 → AGENTS.md），目录固定是节点进程的 cwd。
+// hub 侧只存 op + 内容，客户端连文件名都指定不了（#225 验收第 5 条）。
+// file_name 是节点**回报**的实际文件名，只用于显示。
+db.exec(`
+  CREATE TABLE IF NOT EXISTS node_rules_requests (
+    request_id       TEXT PRIMARY KEY,
+    node_id          TEXT NOT NULL,
+    network_id       TEXT NOT NULL,
+    op               TEXT NOT NULL,
+    content          TEXT,
+    status           TEXT NOT NULL,
+    file_name        TEXT,
+    file_exists      INTEGER,
+    result_content   TEXT,
+    error            TEXT,
+    created_at       INTEGER NOT NULL,
+    created_by_token TEXT NOT NULL,
+    pulled_at        INTEGER,
+    acked_at         INTEGER
+  );
+
+  CREATE INDEX IF NOT EXISTS idx_nrr_node_status ON node_rules_requests(node_id, status);
+  CREATE INDEX IF NOT EXISTS idx_nrr_network ON node_rules_requests(network_id);
+`);
+
 // ── V3: networks table ──
 db.exec(`
   CREATE TABLE IF NOT EXISTS networks (

package/src/external-schedule-edits-http.test.ts

@@ -51,6 +51,10 @@ function snapshot(revision: number, extra: Record<string, unknown> = {}) {
   });
 }
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   const admin = register(`b4_admin_${stamp}`, "B4Admin123!", undefined, "B4 Admin");
   const owner = register(`b4_owner_${stamp}`, "B4Owner123!", undefined, "B4 Owner");
@@ -83,7 +87,7 @@ beforeAll(async () => {
   const mod: any = await import("./server.js");
   server = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   base = `http://127.0.0.1:${server.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop?.(true); } catch {}

package/src/external-schedule-edits-timestamps.test.ts

@@ -0,0 +1,64 @@
+import { describe, expect, it } from "bun:test";
+import { parseHubTimestamp } from "./hub-timestamp";
+
+// #1650 —— external-schedule-edits 的 publicEdit() 原先对四个时间列直接
+// `new Date(row.x).toISOString()`。这些列是 SQLite `datetime('now')` 家族:
+// **UTC 但不带时区标记**,而 JS 对「有时间、无偏移」的串按**本机时区**解析,
+// 且不报错 ⇒ 发给 API 消费方的是一个错的时刻。
+
+function hubIso(raw: unknown): string | null {
+  const ms = parseHubTimestamp(raw);
+  return ms === null ? null : new Date(ms).toISOString();
+}
+
+describe("#1650 hub 时间戳按 UTC 解析", () => {
+  it("🔴 无时区标记的串按 UTC 解析,不按本机时区", () => {
+    expect(hubIso("2026-08-30 21:04:11")).toBe("2026-08-30T21:04:11.000Z");
+  });
+
+  it("🔴 反向见证:旧写法在非 UTC 机器上会给出不同的结果", () => {
+    const old = new Date("2026-08-30 21:04:11").toISOString();
+    const now = hubIso("2026-08-30 21:04:11")!;
+    // 只有当本机恰好是 UTC 时两者才相同;此处断言的是「新写法等于 UTC 语义」,
+    // 而 old 的值取决于运行机器 —— 所以只在两者不同时才有对比意义。
+    const offsetMin = new Date("2026-08-30T21:04:11Z").getTimezoneOffset();
+    if (offsetMin !== 0) expect(old).not.toBe(now);
+    expect(now).toBe("2026-08-30T21:04:11.000Z");
+  });
+
+  it("带 Z 的串保持原意", () => {
+    expect(hubIso("2026-08-30T21:04:11Z")).toBe("2026-08-30T21:04:11.000Z");
+  });
+
+  it("🔴 垃圾串返回 null,而不是抛 RangeError(旧写法会把接口打成 500)", () => {
+    expect(hubIso("not-a-date")).toBeNull();
+    expect(hubIso(null)).toBeNull();
+    expect(hubIso(undefined)).toBeNull();
+    expect(() => new Date("not-a-date").toISOString()).toThrow();
+  });
+});
+
+// 🔴 上面四条测的是 helper 的语义。真正要钉住的是**那个文件用了它**——
+//    否则 helper 再对,publicEdit 里改回 `new Date(row.x)` 也照样全绿。
+import { readFileSync } from "node:fs";
+import { join } from "node:path";
+
+describe("#1650 publicEdit 必须走 hubIso,不能有裸 new Date(row.*)", () => {
+  const SRC = readFileSync(join(import.meta.dir, "external-schedule-edits.ts"), "utf-8");
+  const CODE = SRC.split("\n").filter(l => !/^\s*(\/\/|\*|\/\*)/.test(l)).join("\n");
+
+  it("🔴 源码里不再有裸 new Date(row.…)", () => {
+    expect(/new Date\(row\./.test(CODE)).toBe(false);
+  });
+
+  it("四个时间列都走 hubIso", () => {
+    for (const f of ["expires_at", "created_at", "delivered_at", "acked_at"]) {
+      expect(CODE).toContain(`${f}: hubIso(row.${f})`);
+    }
+  });
+
+  it("hubIso 复用 parseHubTimestamp,没有第二套判据", () => {
+    expect(CODE).toContain('from "./hub-timestamp"');
+    expect(CODE).toContain("parseHubTimestamp(raw)");
+  });
+});

package/src/external-schedule-edits.ts

@@ -2,6 +2,7 @@ import { db } from "./db.js";
 import { getUserNetworkRole } from "./auth.js";
 import { pushEvent } from "./push.js";
 import { parseExternalSchedulePatch, type ExternalSchedulePatch } from "./shared/external-schedule-contract.js";
+import { parseHubTimestamp } from "./hub-timestamp";
 
 type Auth = {
   userId: string;
@@ -109,6 +110,18 @@ function reportedSchedule(node: NodeRow, scheduleId: string): Record<string, unk
   }
 }
 
+// 🔴 #1650 —— 这些列是 SQLite `datetime('now')` 家族:**UTC 但不带时区标记**。
+//   `new Date("2026-08-30 21:04:11")` 会按**本机时区**解析(ES 规范:带时间且无偏移
+//   的形式视为本地时间),而且不报错 —— 于是发给 API 消费方的是一个错的时刻,
+//   误差就是这台机器的 offset。
+//   另外原写法在字段是垃圾串时 `new Date(x).toISOString()` 会**抛 RangeError**,
+//   足以把这个接口打成 500;`parseHubTimestamp` 解析失败返回 null,这里也返回 null。
+//   复用 server.ts:1010 已在用的那个 helper,不自造第二套判据。
+function hubIso(raw: unknown): string | null {
+  const ms = parseHubTimestamp(raw);
+  return ms === null ? null : new Date(ms).toISOString();
+}
+
 function publicEdit(row: EditRow): Record<string, unknown> {
   let patch: ExternalSchedulePatch = {};
   try { patch = JSON.parse(row.patch_json); } catch {}
@@ -119,10 +132,10 @@ function publicEdit(row: EditRow): Record<string, unknown> {
     base_revision: row.base_revision,
     patch,
     status: row.status,
-    expires_at: new Date(row.expires_at).toISOString(),
-    created_at: new Date(row.created_at).toISOString(),
-    delivered_at: row.delivered_at ? new Date(row.delivered_at).toISOString() : null,
-    acked_at: row.acked_at ? new Date(row.acked_at).toISOString() : null,
+    expires_at: hubIso(row.expires_at),
+    created_at: hubIso(row.created_at),
+    delivered_at: hubIso(row.delivered_at),
+    acked_at: hubIso(row.acked_at),
     result_revision: row.result_revision,
     error_code: row.error_code,
   };

package/src/health-redaction.test.ts

@@ -30,6 +30,10 @@ let userNetworkId = "";
 let userName = "";
 let adminToken = "";
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   process.env.COMMHUB_DB = process.env.COMMHUB_DB || SERVER_DB;
   process.env.HOST = "127.0.0.1";
@@ -72,7 +76,7 @@ beforeAll(async () => {
   if (res.status !== 200) throw new Error("SSE subscribe failed: " + res.status);
   sseReader = res.body!.getReader();
   await sseReader.read(); // consume the connected frame → registration done
-});
+}, 30_000);
 
 afterAll(() => {
   try { sseReader?.cancel(); } catch {}

package/src/hub-timestamp.test.ts

@@ -0,0 +1,38 @@
+import { describe, expect, test } from "bun:test";
+import { parseHubTimestamp } from "./hub-timestamp";
+
+const RAW = "2026-08-30 21:11:24";                    // sessions.last_seen_at 的真实取值
+const TRUE_UTC = Date.UTC(2026, 7, 30, 21, 11, 24);
+
+describe("parseHubTimestamp (#1650)", () => {
+  test("🔴 非 UTC 时区下也必须解出同一个 UTC 时刻", () => {
+    // `bun test` 把测试进程时区固定成 UTC(getTimezoneOffset() === 0)。
+    // 在 UTC 下,「补 Z」和「不补 Z」解析出**同一个数** —— 这个函数存在的那个
+    // 缺陷在测试进程里**结构上不可见**。所以这一条必须开 TZ≠UTC 的子进程。
+    // 实测:去掉补 Z,本文件其余各条**全绿**。
+    const child = `import { parseHubTimestamp } from ${JSON.stringify(import.meta.dir + "/hub-timestamp.ts")};
+process.stdout.write(new Date().getTimezoneOffset() + "," + parseHubTimestamp(${JSON.stringify(RAW)}));`;
+    const r = Bun.spawnSync(["bun", "-e", child], { env: { ...process.env, TZ: "Asia/Shanghai" } });
+    const [offset, parsed] = r.stdout.toString().trim().split(",");
+    // 🔴 先断言控制生效:子进程真的不在 UTC。否则 TZ 被忽略时这条又变成空测试。
+    expect(Number(offset)).not.toBe(0);
+    expect(parsed).toBe(String(TRUE_UTC));
+  });
+
+  test("已带 Z / ±HH:MM 的串不再追加时区", () => {
+    expect(parseHubTimestamp("2026-08-30T21:11:24Z")).toBe(TRUE_UTC);
+    expect(parseHubTimestamp("2026-08-30T22:11:24+01:00")).toBe(TRUE_UTC);
+  });
+
+  test("拿不到就返回 null,不返回一个看起来合理的数", () => {
+    for (const bad of [undefined, null, "", "  ", 0, 1788124284000, {}, [], "2026-08-30", "垃圾"]) {
+      expect(parseHubTimestamp(bad as unknown)).toBeNull();
+    }
+  });
+
+  test("🔴 INTEGER 列(epoch 毫秒)不归它管 —— 传数字必须返回 null,而不是悄悄接受", () => {
+    // external_schedule_edits.* 是 INTEGER。如果有人把本函数用在那儿,
+    // 应当立刻拿到 null 而不是一个错的时刻。
+    expect(parseHubTimestamp(TRUE_UTC)).toBeNull();
+  });
+});

package/src/hub-timestamp.ts

@@ -0,0 +1,27 @@
+/**
+ * #1650 — hub 的 TEXT 时间戳列是 SQLite `datetime('now')` 写的，
+ * 形如 `2026-08-30 21:11:24`：**UTC，但不带任何时区标记**。
+ *
+ * 🔴 `new Date(raw)` / `Date.parse(raw)` 对这种串按**本地时间**解析（ES 规范：
+ *    带时间的形式无偏移时视为本地时间），误差恰好等于主机时区偏移，**而且不报错**：
+ *
+ *      TZ=UTC                   误差  0h
+ *      TZ=Asia/Shanghai         误差 -8h   （看起来更陈旧）
+ *      TZ=America/Los_Angeles   误差 +7h   （看起来更新鲜 ← 朝好的一侧错）
+ *
+ * 🔴 **只对 TEXT 列用它。** 同一个字段名在不同表里可能是不同类型：
+ *      sessions.last_seen_at / licenses.expires_at   → TEXT（要用本函数）
+ *      external_schedule_edits.expires_at 等 4 列     → INTEGER（epoch 毫秒，直接 new Date 就对）
+ *    按字段名判会判错 —— 见 #1650 里的更正。
+ *
+ * 与 agent-network 侧的同名函数是**有意的重复**：server 包不依赖 agent-network，
+ * 仓里也没有共享 lib。两边各自带测试。
+ */
+export function parseHubTimestamp(raw: unknown): number | null {
+  if (typeof raw !== "string") return null;
+  const t = raw.trim();
+  if (!/^\d{4}-\d{2}-\d{2}[ T]\d{2}:\d{2}:\d{2}/.test(t)) return null;
+  const hasZone = /([Zz]|[+-]\d{2}:?\d{2})$/.test(t);
+  const ms = Date.parse(t.replace(" ", "T") + (hasZone ? "" : "Z"));
+  return Number.isFinite(ms) ? ms : null;
+}

package/src/network-name-http.test.ts

@@ -13,6 +13,10 @@ let nodeToken = "";
 let networkId = "";
 let username = "";
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   process.env.COMMHUB_DB = process.env.COMMHUB_DB || join(PRIVATE_DB_DIR, "hub.db");
   username = `network_name_${Date.now()}_${process.pid}`;
@@ -30,7 +34,7 @@ beforeAll(async () => {
   const mod: any = await import("./server.js");
   server = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   base = `http://127.0.0.1:${server.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop?.(true); } catch {}

package/src/node-attrs.test.ts

@@ -45,6 +45,10 @@ const LEGACY_ALIAS = "attrs-legacy-node";
 let token = "";
 let server: { stop: (force?: boolean) => void } | null = null;
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   db.run(`INSERT INTO users (user_id, username, password_hash, role) VALUES (?1, 'attrs-user', 'x', 'user')`, [USER]);
   db.run(`INSERT INTO networks (network_id, network_name, owner_id) VALUES (?1, 'attrs-net', ?2)`, [NET, USER]);
@@ -58,7 +62,7 @@ beforeAll(async () => {
   token = issueUserToken(USER, "attrs-test").token;
   server = bootServer({ port: PORT, hostname: "127.0.0.1" }) as never;
   await new Promise((r) => setTimeout(r, 120));
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop(true); } catch { /* already down */ }

package/src/node-id-alias.test.ts

@@ -145,3 +145,44 @@ describe("#1281 real handler path — stop_node routes both names to the same pl
     expect(r.error).toBe("node_id_conflict");
   });
 });
+
+describe("app#196 —— 「解析不到 daemon」的两种情况必须给不同的话", () => {
+  // 🔴 生产实测(2026-08-28):218 个节点里 207 个是 `n_…`(有人直接
+  //    `anet node start` 起的),它们**根本没有 daemon**。原先这两种情况
+  //    打印同一句 `pass daemon_node_id explicitly` —— 对那 207 个来说,
+  //    **这句建议的前提是假的**,照着做只会走进死路。
+  const HAND_STARTED = "n_73687f17";      // 手工起的节点,真实形状
+  const DAEMON_CHILD = "node_test_1281";  // daemon 建的子节点
+
+  test("手工起的节点 → not_daemon_managed,并且**不**建议传 daemon_node_id", async () => {
+    const r = await call("stop_node", { node_id: HAND_STARTED });
+    expect(r.ok).toBe(false);
+    expect(r.error).toBe("not_daemon_managed");
+    // 🔴 这一条是本组的核心:旧文案的那句建议**不能**再出现在这条路径上。
+    expect(r.message).not.toContain("pass daemon_node_id explicitly");
+    // 而且要告诉他真正能走的那条路。
+    expect(r.message).toContain("anet node stop");
+  });
+
+  test("daemon 建的子节点(无 create-request 行) → 仍是 daemon_not_resolvable", async () => {
+    const r = await call("stop_node", { node_id: DAEMON_CHILD });
+    expect(r.ok).toBe(false);
+    expect(r.error).toBe("daemon_not_resolvable");
+    expect(r.message).toContain("pass daemon_node_id explicitly");
+  });
+
+  test("delete_node 走同一条判别(两个调用点不能只改一个)", async () => {
+    const r = await call("delete_node", { node_id: HAND_STARTED, confirm_alias: "x" });
+    expect(r.ok).toBe(false);
+    expect(r.error).toBe("not_daemon_managed");
+  });
+
+  // 🔴 反向见证:两种情况必须**真的不同**。若有人把判别改成恒定一支,
+  //    上面三条里至少一条会红 —— 但那还不够明显,所以这里直接断言两者不等。
+  test("两种情况的 error 与 message 都不相同", async () => {
+    const a = await call("stop_node", { node_id: HAND_STARTED });
+    const b = await call("stop_node", { node_id: DAEMON_CHILD });
+    expect(a.error).not.toBe(b.error);
+    expect(a.message).not.toBe(b.message);
+  });
+});

package/src/observer-avatar-http.test.ts

@@ -36,6 +36,10 @@ let outsiderUserId = "";
 const TARGET_ALIAS = "obs-target-agent";
 const AVATAR_NODE_ID = "node_avatar_test_1";
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   // Kept for per-file runs launched without an external COMMHUB_DB (the
   // documented contract still is to set it externally; see db-adapter.ts).
@@ -88,7 +92,7 @@ beforeAll(async () => {
   const mod: any = await import("./server.js");
   privateServer = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   BASE = `http://127.0.0.1:${privateServer.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { privateServer?.stop?.(true); } catch {}

package/src/rest-explicit-columns-http.test.ts

@@ -82,6 +82,10 @@ async function api(path: string): Promise<any> {
   return response.json();
 }
 
+// 30s 而不是 bun 默认的 5s:这个 hook 跑 register()(KDF)+bootServer(),
+// 本机空载基线 ~620ms,而 2026-08-17 与 2026-08-31 两次 CI 上它被 5s 上限打死
+// (0 pass / 1 fail / Ran 1 test —— 见 #928、#1627)。5247ms 是**被截断的下界**,
+// 不是测量值,所以余量按基线的 ~48x 取,而不是按那个数取。
 beforeAll(async () => {
   ({ db } = await import("./db.js"));
   const { register } = await import("./auth.js");
@@ -135,7 +139,7 @@ beforeAll(async () => {
   const mod = await import("./server.js");
   server = mod.bootServer({ port: 0, hostname: "127.0.0.1" });
   base = `http://127.0.0.1:${server.port}`;
-});
+}, 30_000);
 
 afterAll(() => {
   try { server?.stop(true); } catch {}