docs(GOV-009): 封存脚手架复核材料

2026-08-13 19:55:45 +08:00
parent 95b8611bd9
commit f50268b70f
15 changed files with 290 additions and 2 deletions
@@ -0,0 +1,24 @@
+# 代码 Review
+
+- 审查范围：`c04184a6111da0cfad90d1a265dc3cd3a6d90a9c..95b8611bd9bbc282193591e472e2e19c617e5035`
+- 审查方式：独立只读复审
+- 日期：2026-08-13
+
+## 发现与处置
+
+第一轮发现三进程生命周期依赖本地 env、未跟踪生成契约可绕过漂移检查、Vue 外部脚本可绕过边界、生产镜像允许可变 tag，以及 Docker 未验证镜像内 Scheduler/Worker 生命周期。上述问题已在 `cb550e3` 完成整改并通过针对性测试。
+
+最终复审进一步发现早期外部脚本正则不能识别合法的无引号 `src` 属性。GitNexus 单符号影响分析为 LOW，只有 `verifyProjectBoundaries` 一个直接调用者和一条边界检查流程。`95b8611` 改用固定版本 `@vue/compiler-sfc@3.5.41`，直接拒绝普通脚本或 setup 脚本的外部 `src`，测试覆盖双引号、单引号、无引号和属性换序，边界用例 8/8 通过。
+
+## 最终证据
+
+- `pnpm verify` 完整通过：静态检查、类型、全部测试、Web/Server 构建和 Playwright 4/4。
+- 契约漂移 3/3、工程边界 8/8、镜像引用 5/5、Web 8/8、Server 30/30。
+- Scheduler/Worker 的源码子进程生命周期使用公开 production fixture，可在干净 checkout 复现。
+- HTTP 契约保持 Server DTO → OpenAPI → Web 单向发布；RocketMQ 消息契约只在 Server 内部。
+- 未发现新的配置泄漏、安全、生命周期、错误处理或生产风险。
+- Docker 是已验证过的历史可选交付能力；按用户决定不再作为后续日常门禁，最终开发完成后再决定是否保留。
+
+Critical、Important、Minor 均无未关闭问题。
+
+最终结论：passed
@@ -0,0 +1,21 @@
+# 开发规范符合性 Review
+
+- 审查范围：`c04184a6111da0cfad90d1a265dc3cd3a6d90a9c..95b8611bd9bbc282193591e472e2e19c617e5035`
+- 审查方式：独立只读复审
+- 日期：2026-08-13
+
+## 规范核对
+
+- 所有 GOV-009 实现提交均为包含功能编号的中文 Conventional Commit，并在验证后及时推送 Gitea。
+- GitNexus 前置、影响分析、开发后索引和前后对比完整；最终索引提交为 `95b8611`。
+- 公共导出、契约字段、安全边界和架构取舍均有准确中文注释，未发现无意义逐行注释或过度拆分。
+- MySQL 固定为 5.7.42、`utf8mb4`、`utf8mb4_general_ci` 和 `+08:00`；Schema 流程只允许固定开发库和白名单主机。
+- Redis DB 0/1/2 均只读 `PING` 成功；RocketMQ NameServer/Broker/Proxy 均只读验证可达，未创建 Topic 或发送消息。
+- 截图位于 `screenshots/iterations/`，文件名包含页面、状态、视口和实现版本，文档引用与 SHA-256 一致。
+- 未发现密钥、真实 env、生产数据或 GitNexus 本地索引被 Git 跟踪。
+- Docker 最新决定已统一记录为历史验证、可选交付、非日常必跑，不篡改此前真实验证记录。
+- manifest 保持 `reviewing/unreleased`，本地与远端均不存在 `v0.0.8`。
+
+Critical、Important、Minor 均无未关闭问题。
+
+最终结论：passed