@whyshu/argent-engine 0.0.0-stage → 0.6.1

package/engine/scripts/check-model-auth.py

@@ -0,0 +1,443 @@
+#!/usr/bin/env python3
+"""模型凭证体检（**装机红灯门禁** + 流程/客户机预检共用）—— 2026-09-29 事故固化。
+
+为什么要有它（真实事故）：
+  2026-09-14 whyshu.com 把 `JWT_SECRET` **硬切换**（无灰度，见 whyshu-svr docs/jwt-secret-rotation.md）
+  ⇒ 所有存量问述 token 当场失效。客户机上那把 2026-08-22 签发的 token **还在**、
+  `exp` 还写着 2026-11-20，看起来一切正常；而 09-28 生产切到客户机后，
+  2026-09-29 北京 14:03 的日报第一次真正调模型 ⇒ 每一步都是 `DeepSeek API error (HTTP 401)`，
+  角色会话空转、票据「停滞 → 回收 → 重派」循环，**没有任何告警** —— 唯一信号是"日报没来"。
+  两个教训固化在这里：
+    ① **"配了" ≠ "能用"**：装机必须同时查"有没有"和"活不活"；
+    ② **一个都没有 = 红灯**：装完也是坏的，不能绿灯放行。
+
+判据（模式感知，不猜）：
+  1. 读 profile 组合补丁（`profiles/<profile>/cordis.patch.yml`）判定**当前可用 provider**
+     （`llm-deepseek`=官方直连用 DEEPSEEK_API_KEY；`llm-whyshu`=问述代理用 WHYSHU_API_KEY）；
+     没有该段 = DeepSeek 官方直连模式（必需 DEEPSEEK_API_KEY）。
+  2. 取凭证（**只读、不打印值**）：环境变量 → dsh credentials 的 `refs:` 段 →
+     `argent/config.json` 的 `apiKey` → `argent/whyshu.env`。
+  3. 离线死证（无需联网）：JWT 的 `exp` 已过；或用**历史默认密钥**验签命中
+     （= 2026-09-14 轮换前签发的，必然已被服务端拒绝）。
+  4. 在线探针（`--online`）：`GET <provider>/models`；200 = 活；401/403 = **已失效（红灯）**；
+     其余/网络不可达 = 黄灯（**不冤枉凭证**）。
+
+红线：
+  · 只读：不写任何配置、不发模型请求（只打一次 `/models` 清单接口）、不打印凭证值（只给 sha256 指纹）。
+  · 网络不可达**不是**凭证问题 ⇒ 只判黄灯，不判红灯。
+
+用法：
+  python3 scripts/check-model-auth.py                  # 离线判定（有没有 + 离线死证）
+  python3 scripts/check-model-auth.py --online          # 追加在线探针（装机默认走这条）
+  python3 scripts/check-model-auth.py --json            # 机器可读（installer/预检 消费）
+  python3 scripts/check-model-auth.py --dsh-home ~/.dsh
+退出码：0 = 无红灯；1 = 有红灯（凭证缺失/已失效）；2 = 脚本自身出错。
+"""
+
+from __future__ import annotations
+
+import argparse
+import base64
+import hashlib
+import hmac
+import json
+import os
+import pathlib
+import re
+import sys
+import urllib.error
+import urllib.request
+
+sys.path.insert(0, str(pathlib.Path(__file__).resolve().parent / "lib"))
+from stdio_utf8 import use_utf8_stdio  # noqa: E402  出口编码钉 UTF-8（中文 Windows 的 GBK 管道下非 ASCII 会崩）
+
+# 2026-09-14 轮换前的**默认**密钥（已作废、公开在运维文档里）。它不能用来签发任何东西，
+# 只用于一条离线判据：命中 ⇒ 这把 token 必定是轮换前签发的 ⇒ 服务端一定拒绝。
+HISTORICAL_DEFAULT_SECRET = "whyshu-dev-secret-change-me"
+
+WHYSHU_PROBE = "https://whyshu.com/api/argent/v1/models"
+DEEPSEEK_PROBE = "https://api.deepseek.com/v1/models"
+TIMEOUT_DEFAULT = 12
+
+GROUP = "模型凭证"
+
+
+# ── 输出 ──────────────────────────────────────────────────────────────────────
+
+class Checks:
+    """与 customer-preflight.py 的 Checks 同形状（id/level/title/detail/fix），便于直接搬运。"""
+
+    def __init__(self) -> None:
+        self.items: list[dict] = []
+        self.mode = "unknown"          # whyshu / deepseek / unknown（= 默认 provider，兼容旧消费方）
+        self.providers: list[str] = []  # 当前可用 provider（deepseek-official / whyshu）
+
+    def add(self, cid: str, level: str, title: str, detail: str = "", fix: str = "") -> None:
+        self.items.append({"id": cid, "group": GROUP, "level": level,
+                           "title": title, "detail": detail, "fix": fix})
+
+    @property
+    def level(self) -> str:
+        if any(i["level"] == "fail" for i in self.items):
+            return "fail"
+        if any(i["level"] == "warn" for i in self.items):
+            return "warn"
+        return "ok"
+
+
+def fingerprint(secret: str) -> str:
+    """凭证指纹：sha256 前 12 位（与 docs/jwt-secret-rotation.md 同一口径）。永不打印原值。"""
+    return "sha256:" + hashlib.sha256(secret.encode()).hexdigest()[:12]
+
+
+# ── 配置 / 凭据读取（全部只读，容忍半坏机器）────────────────────────────────────
+
+def settings_path(dsh_home: pathlib.Path) -> pathlib.Path:
+    return dsh_home / "settings.yaml"
+
+
+def detect_providers(dsh_home: pathlib.Path) -> tuple[list[str], str, str]:
+    """从 profile 组合补丁判定**当前可用 provider**（2026-09-30 起取代 settings.yaml 判据）。
+
+    为什么改：模型/provider 现在由 dsh 的**模型选择器**决定，两个 provider 并存：
+      · `llm-deepseek`（官方直连，provider id `deepseek-official`，用 DEEPSEEK_API_KEY）
+      · `llm-whyshu`（问述代理，provider id `whyshu`，用 WHYSHU_API_KEY）
+    旧逻辑读 settings.yaml 的 `llm-deepseek` 段 —— 那个文件已不再由 Argent 维护（用户明确要求不写它）。
+    返回 (providers, default_provider, 证据)。
+    """
+    prof = os.environ.get("DSH_PROFILE", "web")
+    patch = dsh_home / "profiles" / prof / "cordis.patch.yml"
+    if not patch.exists():
+        profs = sorted([d.name for d in (dsh_home / "profiles").iterdir() if (d / "cordis.patch.yml").exists()]) if (dsh_home / "profiles").exists() else []
+        if profs:
+            patch = dsh_home / "profiles" / profs[0] / "cordis.patch.yml"
+    try:
+        text = patch.read_text(encoding="utf-8", errors="replace")
+    except OSError:
+        return [], "", f"{patch} 不存在 ⇒ 无法判定可用 provider（按旧判据回落）"
+    provs = []
+    if re.search(r"(?m)^\s*-?\s*id:\s*llm-deepseek\s*$", text):
+        provs.append("deepseek-official")
+    if re.search(r"(?m)^\s*-?\s*id:\s*llm-whyshu\s*$", text):
+        provs.append("whyshu")
+    m = re.search(r"(?m)^\s*provider:\s*(\S+)\s*$", text)
+    default = m.group(1) if m else ""
+    return provs, default, f"{patch.relative_to(dsh_home)} 声明 provider={provs or '（无）'}，默认={default or '（未设）'}"
+
+
+def detect_mode(dsh_home: pathlib.Path) -> tuple[str, str]:
+    """判定计费模式。返回 (mode, 证据文案)。mode ∈ whyshu / deepseek / unknown。"""
+    p = settings_path(dsh_home)
+    try:
+        text = p.read_text(encoding="utf-8", errors="replace")
+    except OSError:
+        return "deepseek", f"{p} 不存在 ⇒ 官方直连（无代理段）"
+    if re.search(r"(?m)^llm-deepseek:\s*$", text):
+        return "whyshu", f"{p} 有 llm-deepseek 段 ⇒ 走问述代理"
+    if re.search(r"(?m)^agent-default-model:", text):
+        return "deepseek", f"{p} 无 llm-deepseek 段 ⇒ DeepSeek 官方直连"
+    return "unknown", f"{p} 既无 llm-deepseek 也无 agent-default-model ⇒ 判不出模型路径"
+
+
+def read_refs(cred_file: pathlib.Path) -> dict[str, str]:
+    """只读 credentials 的 `refs:` 段（三段格式：version/refs/records）。
+
+    ⛔ 绝不写这个文件（2026-09-14 事故：行操作把它写坏 ⇒ dsh 起不来）；
+    也只认 refs 段，records 段一律不碰。
+    """
+    out: dict[str, str] = {}
+    try:
+        text = cred_file.read_text(encoding="utf-8", errors="replace")
+    except OSError:
+        return out
+    in_refs = False
+    for line in text.splitlines():
+        if re.match(r"^refs:\s*$", line):
+            in_refs = True
+            continue
+        if in_refs and line and not line[0].isspace():
+            break
+        if in_refs:
+            m = re.match(r"^\s+([A-Za-z0-9_.\-/]+):\s*(.+?)\s*$", line)
+            if m:
+                out[m.group(1)] = m.group(2).strip().strip('"').strip("'")
+    return out
+
+
+def read_env_file(path: pathlib.Path, key: str) -> str:
+    try:
+        for line in path.read_text(encoding="utf-8", errors="replace").splitlines():
+            if line.startswith(key + "="):
+                return line.split("=", 1)[1].strip().strip('"').strip("'")
+    except OSError:
+        pass
+    return ""
+
+
+def read_config_key(dsh_home: pathlib.Path) -> str:
+    try:
+        doc = json.loads((dsh_home / "argent" / "config.json").read_text(encoding="utf-8"))
+    except (OSError, ValueError):
+        return ""
+    return str(doc.get("apiKey") or "").strip()
+
+
+def collect(dsh_home: pathlib.Path) -> dict[str, tuple[str, str]]:
+    """收集两把凭证。返回 {逻辑名: (值, 来源)}；值可能为空串（= 未配置）。"""
+    refs = read_refs(dsh_home / ".credentials.yaml")
+    home = pathlib.Path(os.path.expanduser("~"))
+    alt = read_refs(home / ".dsh" / ".credentials.yaml") if dsh_home != home / ".dsh" else {}
+
+    def pick(*cands: tuple[str, str]) -> tuple[str, str]:
+        for value, src in cands:
+            if value:
+                return value, src
+        return "", ""
+
+    deepseek = pick(
+        (os.environ.get("DEEPSEEK_API_KEY", ""), "环境变量 DEEPSEEK_API_KEY"),
+        (refs.get("DEEPSEEK_API_KEY", ""), f"{dsh_home}/.credentials.yaml"),
+        (alt.get("DEEPSEEK_API_KEY", ""), "~/.dsh/.credentials.yaml"),
+    )
+    whyshu = pick(
+        (os.environ.get("WHYSHU_API_KEY", ""), "环境变量 WHYSHU_API_KEY"),
+        (refs.get("WHYSHU_API_KEY", ""), f"{dsh_home}/.credentials.yaml"),
+        (alt.get("WHYSHU_API_KEY", ""), "~/.dsh/.credentials.yaml"),
+        (read_config_key(dsh_home), f"{dsh_home}/argent/config.json"),
+        (read_env_file(dsh_home / "argent" / "whyshu.env", "WHYSHU_API_KEY"),
+         f"{dsh_home}/argent/whyshu.env"),
+    )
+    return {"deepseek": deepseek, "whyshu": whyshu}
+
+
+# ── 离线死证 ──────────────────────────────────────────────────────────────────
+
+def jwt_payload(token: str) -> dict | None:
+    parts = token.split(".")
+    if len(parts) != 3:
+        return None
+    try:
+        seg = parts[1] + "=" * (-len(parts[1]) % 4)
+        doc = json.loads(base64.urlsafe_b64decode(seg))
+        return doc if isinstance(doc, dict) else None
+    except Exception:                                            # noqa: BLE001
+        return None
+
+
+def dead_reason(token: str, now: int) -> str:
+    """离线判定"必然已死"的原因；判不出来返回空串（不代表活着）。"""
+    payload = jwt_payload(token)
+    if payload is None:
+        return ""
+    exp = payload.get("exp")
+    if isinstance(exp, (int, float)) and exp < now:
+        return f"token 已于 {_fmt(exp)} 过期（exp 判据）"
+    parts = token.split(".")
+    try:
+        expected = hmac.new(HISTORICAL_DEFAULT_SECRET.encode(),
+                            f"{parts[0]}.{parts[1]}".encode(), hashlib.sha256).digest()
+        seg = parts[2] + "=" * (-len(parts[2]) % 4)
+        if hmac.compare_digest(expected, base64.urlsafe_b64decode(seg)):
+            return ("签名用的是 2026-09-14 轮换前的旧默认密钥 ⇒ 服务端必定 401"
+                    "（见 docs/jwt-secret-rotation.md）")
+    except Exception:                                            # noqa: BLE001
+        pass
+    return ""
+
+
+def _fmt(ts: float) -> str:
+    import datetime as dt
+    return dt.datetime.fromtimestamp(ts).strftime("%Y-%m-%d %H:%M")
+
+
+# ── 在线探针 ──────────────────────────────────────────────────────────────────
+
+def probe(url: str, token: str, timeout: int) -> tuple[str, str]:
+    """探一次模型清单接口。返回 (verdict, detail)，verdict ∈ ok / dead / unknown。"""
+    req = urllib.request.Request(url, headers={"Authorization": f"Bearer {token}"})
+    try:
+        with urllib.request.urlopen(req, timeout=timeout) as resp:
+            return ("ok", f"HTTP {resp.status}（凭证可用）") if resp.status == 200 else \
+                   ("unknown", f"HTTP {resp.status}（非预期状态，未据此判死）")
+    except urllib.error.HTTPError as e:
+        if e.code in (401, 403):
+            body = ""
+            try:
+                body = e.read().decode("utf-8", "replace")[:120]
+            except Exception:                                    # noqa: BLE001
+                pass
+            return "dead", f"HTTP {e.code}{('：' + body) if body else ''}"
+        return "unknown", f"HTTP {e.code}（非鉴权错误，未据此判死）"
+    except Exception as e:                                       # noqa: BLE001
+        return "unknown", f"未探到（{type(e).__name__}: {str(e)[:80]}）—— 网络不可达不判死"
+
+
+# ── 判定 ──────────────────────────────────────────────────────────────────────
+
+LOGIN_FIX = ("在客户机浏览器打开 http://127.0.0.1:<port> → 设置 → Argent → "
+             "「✦ 一键登录问述科技账号」（设备流：用问述账号手机号/微信授权一次）")
+SWITCH_FIX = ("或改走官方直连：`bash scripts/provider-switch.sh deepseek`"
+              "（需本机已有可用的 DEEPSEEK_API_KEY）")
+
+
+def evaluate(dsh_home: pathlib.Path, online: bool, timeout: int, now: int | None = None) -> Checks:
+    import time
+    now = int(now if now is not None else time.time())
+    chk = Checks()
+    provs, default_prov, prov_why = detect_providers(dsh_home)
+    chk.providers = provs
+    if provs:
+        # mode = **默认 provider**（兼容旧消费方：whyshu / deepseek）
+        chk.mode = "whyshu" if default_prov == "whyshu" else ("deepseek" if default_prov == "deepseek-official" else "unknown")
+        why = prov_why
+    else:
+        mode, why = detect_mode(dsh_home)
+        chk.mode = mode
+    label = {"whyshu": "问述代理（扣积分）", "deepseek": "DeepSeek 官方直连", "unknown": "未知"}[chk.mode]
+
+    if provs:
+        pretty = "、".join({"deepseek-official": "官方直连（deepseek-official）", "whyshu": "问述代理（whyshu）"}.get(x, x) for x in provs)
+        chk.add("auth.mode", "ok", f"当前可用 provider：{pretty}｜默认：{label}", why)
+    else:
+        chk.add("auth.mode", "ok" if chk.mode != "unknown" else "warn", f"当前可用 provider：{label}（未从组合判定）", why)
+
+    # ── 两把凭证的存在性与离线死证 ──
+    # 级别规则（**这里最容易误伤**）：与当前模式匹配的那把缺失 = 红灯；两把都没有 = 双红灯
+    # （用户口径：装机时"一个都没配"必须红灯）；**非必需的那把**缺失只是黄灯 ——
+    # 直连模式的机器本来就不需要问述 token，判红会让 flow_preflight 把流程全停。
+    # 并存的 provider ⇒ **各自的凭据都必需**（两个都得能用）；无法判定 provider 时按旧判据回落
+    needs: set[str] = set()
+    for x in (provs or ([chk.mode] if chk.mode in ("whyshu", "deepseek") else [])):
+        needs.add("deepseek" if x in ("deepseek-official", "deepseek") else ("whyshu" if x == "whyshu" else x))
+    creds = collect(dsh_home)
+    present = {n: bool(v) for n, (v, _s) in creds.items()}
+    any_present = any(present.values())
+    detail = {}
+    for name, human in (("deepseek", "DEEPSEEK_API_KEY"), ("whyshu", "WHYSHU_API_KEY")):
+        value, src = creds[name]
+        if not value:
+            required_here = (name in needs) or (not any_present)
+            detail[name] = {"present": False, "dead": "", "value": ""}
+            chk.add(f"auth.cred.{name}", "fail" if required_here else "warn",
+                    f"{human} 未配置" if required_here else f"{human} 未配置（当前模式不需要）",
+                    "环境变量与 dsh credentials / config.json 都取不到",
+                    "见 `python3 scripts/check-model-auth.py --help`（两把配任意一把即可，但必须与计费模式匹配）"
+                    if required_here else "")
+            continue
+        dead = dead_reason(value, now) if name == "whyshu" else ""
+        required_here = (name in needs)
+        detail[name] = {"present": True, "dead": dead, "value": value}
+        # 死证也分「必需」与「用不到」：**当前模式用不到的那把死了只是黄灯** ——
+        # 2026-09-29 实测（客户机切直连后，旧的死问述 token 还在 credentials 里）：
+        # 若判红，flow_preflight 会把**正常工作的**流程全停（假红比漏报更贵）。
+        chk.add(f"auth.cred.{name}",
+                "fail" if (dead and required_here) else ("warn" if dead else "ok"),
+                (f"{human} 已失效" if required_here else f"{human} 已失效（当前模式不需要）") if dead
+                else f"{human} 已配置",
+                (f"{dead}｜" if dead else "") + f"来源 {src}｜长度 {len(value)}｜指纹 {fingerprint(value)}",
+                ("重新登录换新 token：" + LOGIN_FIX) if dead else "")
+
+    NEED_LABEL = {"whyshu": "问述代理", "deepseek": "官方直连"}
+    # ── 必需项：**并存 provider 各自的凭据都必须可用** ──
+    if needs:
+        for need in sorted(needs):
+            d = detail.get(need, {})
+            other = "deepseek" if need == "whyshu" else "whyshu"
+            other_ok = detail.get(other, {}).get("present") and not detail.get(other, {}).get("dead")
+            if not d.get("present"):
+                chk.add("auth.required", "fail",
+                        f"provider「{NEED_LABEL.get(need, need)}」所需的凭证缺失：{'WHYSHU_API_KEY' if need == 'whyshu' else 'DEEPSEEK_API_KEY'}",
+                        f"另一把（{other}）{'已配置' if other_ok else '也没配'}",
+                        (SWITCH_FIX if other_ok else LOGIN_FIX))
+            elif d.get("dead"):
+                chk.add("auth.required", "fail", f"provider「{NEED_LABEL.get(need, need)}」所需的凭证**已失效**",
+                        d["dead"],
+                        ((SWITCH_FIX if other_ok else "") + ("；" if other_ok else "") + "或重新登录：" + LOGIN_FIX))
+            else:
+                chk.add("auth.required", "ok", f"provider「{NEED_LABEL.get(need, need)}」所需凭证在位", f"指纹 {fingerprint(d['value'])}")
+    else:
+        # ⚠️ 2026-09-30 修复：此前误写成 `for ... else`（Python 的 for-else 只要不 break 就执行）
+        # ⇒ 即便已正确判定出 provider，也会**每次误报**"判不出计费模式"黄灯。现归属 `if needs:`。
+        usable = [n for n, v in detail.items() if v.get("present") and not v.get("dead")]
+        if not any(v.get("present") for v in detail.values()):
+            chk.add("auth.required", "fail", "模型凭证一个都没有配置（红灯）",
+                    "既没有 DEEPSEEK_API_KEY，也没有 WHYSHU_API_KEY",
+                    LOGIN_FIX + "；" + SWITCH_FIX)
+        elif not usable:
+            chk.add("auth.required", "fail", "未判定出可用 provider，且**已配的凭证都已失效**",
+                    "两把都在，但没有一把离线可判为可用", LOGIN_FIX)
+        else:
+            chk.add("auth.required", "warn", "未从组合判定出可用 provider，跳过「必需项」判定",
+                    "未读到 profiles/<profile>/cordis.patch.yml 的 provider 实例（回落旧判据也判不出）",
+                    "确认 profile 组合补丁存在且含 llm-deepseek / llm-whyshu 实例后重跑")
+
+    # ── 在线探针（可选）──
+    if online:
+        for name, url, human in (("deepseek", DEEPSEEK_PROBE, "DeepSeek 官方直连"),
+                                 ("whyshu", WHYSHU_PROBE, "问述代理")):
+            d = detail.get(name, {})
+            if not d.get("present"):
+                continue
+            if d.get("dead"):
+                chk.add(f"auth.live.{name}", "warn", f"{human}：跳过探针（离线已判死）", d["dead"])
+                continue
+            verdict, why2 = probe(url, d["value"], timeout)
+            level = {"ok": "ok", "dead": "fail", "unknown": "warn"}[verdict]
+            title = {"ok": f"{human} 探针通过", "dead": f"{human} 探针判死：凭证已失效",
+                     "unknown": f"{human} 未探到（不判死）"}[verdict]
+            chk.add(f"auth.live.{name}", level, title, why2,
+                    ("重新登录换新 token：" + LOGIN_FIX) if level == "fail" else "")
+    else:
+        chk.add("auth.live", "warn", "未做在线探针（只查了「有没有」）",
+                "加 --online 真打一次 /models：本事故的坑正是「配了但已失效」",
+                "python3 scripts/check-model-auth.py --online")
+
+    return chk
+
+
+# ── CLI ──────────────────────────────────────────────────────────────────────
+
+def main(argv=None) -> int:
+    use_utf8_stdio()   # 唯一出口编码判据：见 scripts/lib/stdio_utf8.py 的事故说明
+    ap = argparse.ArgumentParser(description="模型凭证体检（装机红灯门禁）")
+    ap.add_argument("--dsh-home", default=os.environ.get("DSH_HOME") or "~/.dsh")
+    ap.add_argument("--online", action="store_true", help="追加在线探针（/models，401/403 判死）")
+    ap.add_argument("--json", action="store_true")
+    ap.add_argument("--timeout", type=int, default=TIMEOUT_DEFAULT)
+    ap.add_argument("--quiet", action="store_true", help="只输出红灯（装机脚本里用）")
+    a = ap.parse_args(argv)
+
+    dsh_home = pathlib.Path(os.path.expanduser(a.dsh_home))
+    try:
+        chk = evaluate(dsh_home, a.online, a.timeout)
+    except Exception as e:                                       # noqa: BLE001
+        print(f"✗ check-model-auth 自身出错：{type(e).__name__}: {e}", file=sys.stderr)
+        return 2
+
+    fails = [i for i in chk.items if i["level"] == "fail"]
+    if a.json:
+        print(json.dumps({"level": chk.level, "mode": chk.mode, "providers": chk.providers, "online": a.online,
+                          "dshHome": str(dsh_home), "checks": chk.items}, ensure_ascii=False, indent=2))
+    else:
+        icon = {"ok": "\x1b[32m✓\x1b[0m", "warn": "\x1b[33m⚠\x1b[0m", "fail": "\x1b[1;31m✗\x1b[0m"}
+        if not a.quiet:
+            print("\x1b[1;35m✦\x1b[0m 模型凭证体检（装机红灯门禁）")
+        for i in chk.items:
+            if a.quiet and i["level"] != "fail":
+                continue
+            print(f"  {icon[i['level']]} {i['title']}")
+            if i["detail"]:
+                print(f"      {i['detail']}")
+            if i["fix"] and i["level"] in ("fail", "warn"):
+                print(f"      ↳ {i['fix']}")
+        if fails:
+            print(f"  \x1b[1;31m⛔ 红灯 {len(fails)} 项\x1b[0m：装完这台机器任何角色会话都会在"
+                  f"**第一步**失败（模型 401），流程只会空转（停滞→回收→重派），且目前**不会告警**。")
+        elif not a.quiet:
+            warn_n = sum(1 for i in chk.items if i["level"] == "warn")
+            print(f"  结论：{'绿灯' if not warn_n else f'绿灯（{warn_n} 项黄灯待确认）'}")
+    return 1 if fails else 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())