bug(workspace): mutation tools не помечают metadata/BSL dirty и делают source↔IB round-trip небезопасным

[korolevpavel]

Проблема

После успешной source mutation через unica.meta.edit связанная запись ConfigDumpInfo.xml/workspace state может остаться прежней. Обычный runtime build полагается на устаревшее состояние и пропускает изменённый объект или модуль. Последующий partial dump без предупреждения возвращает старую версию из информационной базы и перезаписывает актуальный source.

Та же проблема возникает для ручного изменения BSL; будущий unica.code.patch должен закрыть её системно, а не требовать full rebuild после каждого patch.

Минимальное воспроизведение

1. Выгрузить объект Catalog.SampleCatalog и его ConfigDumpInfo.xml из локальной базы.
2. Изменить одно scalar property через unica.meta.edit.
3. Выполнить обычный unica.runtime.execute(operation=build) без ручной правки CDFI.
4. Выполнить partial dump того же объекта.
5. Повторить сценарий для одного существующего Module.bsl после будущего unica.code.patch.

Фактическое поведение

Source mutation и runtime lifecycle не связаны единым affected-target/dirty contract. Build может не загрузить изменение, а dump не обнаруживает source/IB divergence.

Ожидаемое поведение

• Каждый mutation tool возвращает нормализованные affected metadata/module targets и content hashes.
• Workspace хранит локальный dirty state вне tracked 1C sources; platform configVersion не синтезируется вручную.
• Runtime build использует dirty targets/content hashes и гарантированно загружает изменённый source.
• Partial dump сравнивает текущий source с последним известным loaded/dumped hash.
• При divergence dump по умолчанию останавливается с structured conflict; overwrite требует явного force.
• После terminal build/dump dirty state обновляется только для фактически обработанных targets.

Критерии приёмки

• meta.edit → normal build → partial dump сохраняет изменённое property.
• code.patch → normal build → partial dump сохраняет тот же BSL text byte-for-byte.
• Если IB содержит другую версию, dump возвращает conflict и не меняет source без explicit force.
• Result build/dump содержит requested, processed, skipped и conflicted targets.
• Перезапуск workspace service не теряет незавершённый dirty state.

Связанные задачи

• runtime.execute build times out before long Designer LoadConfigFromFiles/update finishes #13 исправляет внешний timeout runtime adapter.
• runtime.execute/build: улучшить диагностику ошибок v8-runner и ibcmd #47 улучшает process diagnostics.
• Ни один из них не задаёт mutation-to-runtime dirty contract и source/IB divergence protection.

[korolevpavel]

Беру #76 в работу как следующую bug-задачу.

Перед claim проверено: assignee отсутствует, комментариев/чужого claim нет, открытого PR по #76 нет. Self-assignment повторно недоступен из-за прав ReplaceActorsForAssignable, поэтому ownership фиксирую этим комментарием и отдельной веткой.

Depends on #73 / PR #86: критерий code.patch -> normal build -> partial dump использует новый affected-module/hash/event contract. Ветка #76 будет отдельной и основана на точном HEAD PR #86; PR оформлю stacked с явной зависимостью, без смешивания задач.

[korolevpavel]

Зафиксировал и остановил текущую разработку по просьбе владельца задачи.

WIP-ветка: fix/issue-76-dirty-state
WIP-коммит: 5c5b1dfd21bb3b12469b659e01b05f35165d6bbb
Зависимость остаётся прежней: Depends on #73 / PR #86.

Что уже находится в checkpoint:

• durable source-sync state с raw-byte fingerprint, generation/CAS и workspace lifecycle lock;
• capture изменений meta.edit/code.patch, build reconciliation по typed JSON v8-runner;
• безопасный partial dump через shadow source, wrapper-only force, rollback/recovery journal;
• pinned private primary/local runtime config и точные Configuration.xml/ConfigDumpInfo.xml seed bytes, чтобы runner не перечитывал изменяемые workspace-файлы после preflight;
• проверки topology, root registration, shadow semantics и дополнительные fail-closed сценарии.

Текущая проверенная точка: проходят cargo fmt --check, cargo check --locked -p unica-coder, компиляция Rust lib-тестов, git diff --check и 12/12 focused shadow-dump tests. Полный набор проверок после последних security-изменений ещё не перезапускался; ready PR не создан.

Перед продолжением обязательно закрыть оставшиеся review-блокеры:

1. Передать lifecycle lease дочернему v8-runner/Designer так, чтобы после аварийного завершения родителя новый процесс не мог удалить живую transaction или параллельно обратиться к той же IB.
2. Исправить whitelist valid module roles для вложенных Form/Command modules и недостающих manager owner types.
3. Завершить read-only dry-run audit pending publication/build/shadow recovery и parity tests.
4. Добавить оставшиеся regressions для CDFI mid-publication CAS, raw sourceSet identity, config/seed swap и crash matrix; убрать warnings и повторить полный Rust/Python/Clippy/platform gate и оба review.

Сохранённый план обновлён прямо в ветке. Исходная база /Users/korolev/Bases/Trade_11_5_Demo_Unica не открывалась и не изменялась. После этого checkpoint дальнейшие изменения и следующая issue не начинались.

[korolevpavel]

Возобновляю работу по #76 из WIP-checkpoint 5c5b1df и остаюсь только в этой задаче. Повторно сверил issue, вчерашний checkpoint и зависимость: PR #86 (feat/issue-73-code-patch) всё ещё открыт и CLEAN, поэтому будущий PR #76 останется stacked с Depends on #73 / PR #86.

Остаток работы, в порядке выполнения:

1. Закрыть критическую гонку lifecycle: живой v8-runner/Designer должен удерживать lease workspace после аварийного завершения родителя, иначе recovery следующего процесса может удалить работающую transaction и допустить параллельный доступ к той же IB.
2. Вернуть корректное разрешение valid module roles: вложенные Form/Command modules и отсутствующие manager owner types не должны блокировать code.patch.
3. Завершить read-only аудит preview для pending publication/build/shadow recovery, чтобы dry-run не обещал apply, который сразу заблокируется или сначала изменит состояние recovery.
4. Добавить регрессии для CDFI CAS во время publication, raw identity sourceSet, pinned config/seed swap и crash/recovery матрицы; убрать warnings.
5. После этого — полный Rust/Python/Clippy gate, disposable-IB acceptance без использования исходной базы, обязательные два review, commit/push и только затем stacked ready PR.

Checkpoint не является готовым PR. Исходная база /Users/korolev/Bases/Trade_11_5_Demo_Unica остаётся вне доступа: для acceptance буду использовать только новые disposable file IB.

[korolevpavel]

Реализация завершена: Draft PR #87 — #87

Сделано:

• дочерний v8-runner/Designer удерживает lifecycle lease после аварийного завершения родителя;
• preview не запускает recovery, а безопасно блокируется при незавершённых artefact-операциях;
• восстановлены стандартные nested form/command и manager module roles, сохранена raw-идентичность sourceSet;
• CDFI/owner publication проверяет CAS перед и после каждой записи, внешнее изменение откатывает публикацию, не перезаписывая его;
• неотслеживаемые неполные source-set сохраняют совместимость нативного редактора, тогда как уже отслеживаемое состояние остаётся fail-closed.

Проверки: rustfmt, Clippy all-target/all-feature с -D warnings, 393 Rust-теста, полный Python CI на 3.12 (135 passed, 1 expected skip), py_compile, JSON manifest validation и git diff --check — PASS. Персональный Rust review и runtime/security review: без remaining blocking/high findings. Исходная база пользователя не открывалась, не копировалась и не передавалась в команды.

Зависимость: PR #87 зависит от #73 / PR #86. GitHub не допускает fork-only ветку PR #86 как base для upstream PR, поэтому #87 создан Draft против main; после merge #86 его нужно rebase onto main, force-push и повторно проверить CI перед переводом в Ready.

[korolevpavel]

Возобновляю #76 для независимого audit-цикла уже опубликованного Draft PR #87. Работаю в fix/issue-76-dirty-state / отдельном worktree; границы: сверка acceptance source-sync/dirty-state, свежие проверки и два независимых review-гейта.\n\nЗависимость #73 / PR #86 остаётся открытой, поэтому PR #87 сохраняю Draft. Действует текущая политика Git: не выполняю merge в upstream, rebase или force-push опубликованной ветки.\n\nСначала проверю фактический diff и lifecycle/recovery/security-инварианты; затем сообщу следующий статус в этой issue.

[korolevpavel]

Завершил audit и доработку #76. Draft PR: #87

Проверенный HEAD: 5461e6678765ebc2c78e7a0437d41fc6610c67c8.

Дополнительно к checkpoint закрыт найденный при реальной platform-приёмке дефект mixed owner batch: когда один owner имеет metadata и module target, обычный partial dump остаётся fail-closed, а явный force теперь атомарно публикует проверенный owner bundle. Module-only и не совпадающие по sourceSet/root/owner targets по-прежнему блокируются до записи.

Свежие проверки:

• cargo fmt --all -- --check;
• cargo clippy --workspace --all-targets --locked -- -D warnings;
• cargo test --workspace --locked — 404 passed;
• Python/parity CI — 135 passed, 1 expected skip;
• git diff --check ea9ad74..HEAD.

Независимые spec-review и обязательное Rust-review — без Critical/Important/Minor замечаний.

Platform acceptance выполнялась только в новых disposable file-ИБ, пользовательская база не открывалась: meta.edit → build → partial dump, code.patch → build → partial dump и смешанный metadata+module owner. Default divergence не меняет source; явный force публикует platform bytes. Для BSL проверены raw SHA-256, BOM и CRLF.

Зависимость остаётся: #73 / PR #86. Поэтому #87 сохранён Draft против main; GitHub CI этого обновления уже запущен. Merge в upstream, rebase и force-push не выполнялись.

[zeegin]

Ограничения для следующей реализации после закрытия PR #87

PR #87 закрывается без merge. Он был построен поверх незамерженной ранней версии PR #86, затем ветки разошлись; поэтому его нельзя считать независимой или повторно применимой реализацией #76. Сам дефект и ожидаемое поведение #76 сохраняются.

Следующая реализация должна соблюдать следующие ограничения:

• Начинаться от актуального main и стабильного принятого mutation contract. Код незамерженного PR feat(code): добавить BSL-aware unica.code.patch для новых и существующих модулей #73 не копируется в ветку bug(workspace): mutation tools не помечают metadata/BSL dirty и делают source↔IB round-trip небезопасным #76; зависимость оформляется через уже смерженный публичный контракт.
• Dirty state хранится вне tracked 1C sources и адресует нормализованный sourceSet/root/owner/target вместе с raw-byte hash. Platform configVersion не синтезируется.
• Build очищает dirty state только для фактически успешно обработанных targets. Partial/failed build не подтверждает необработанные изменения.
• Preview остаётся read-only: не запускает recovery, publication, build или изменение journal. Pending transaction/recovery должен давать явный fail-closed результат.
• Lifecycle lease принадлежит всей операции, включая дочерний v8-runner/Designer; аварийное завершение родителя не разрешает второму процессу удалить или занять живую transaction/ИБ.
• Publication и rollback используют CAS до и после каждой записи. Внешне изменённый файл не перезаписывается ни apply, ни rollback.
• Partial dump при divergence по умолчанию ничего не пишет. force допустим только для полностью проверенного owner bundle; metadata+module публикуются атомарно, module-only и смешанные root/sourceSet/owner batch блокируются.
• Source topology и допустимые module roles выводятся из канонической модели проекта: вложенные Form/Command modules и manager owner types поддерживаются явно, неизвестные/неполные topology остаются fail-closed.
• Config, local overlay, seed/CDFI и source identity фиксируются на preflight; swap между preflight и execution обнаруживается до публикации.
• Acceptance охватывает restart/crash matrix, concurrent owner replacement, CDFI mid-publication CAS, raw sourceSet identity и byte-exact BOM/EOL round-trip.

PR #87 и его комментарии остаются историческим прототипом, но не источником текущего контракта. Требования выше являются ограничениями #76, которые нужно выполнить в новой узкой реализации после стабилизации mutation API.

[zeegin]

Повторный анализ: CDFI не является коллективным source, runtime state должен принадлежать runner

После проверки platform contract, закреплённого v8-runner 0.5.1 и текущего WIP выводы по #76 уточнены.

1. ConfigDumpInfo.xml не должен храниться в Git

Это локальный platform-generated файл с внутренними id/configVersion состояния выгрузки конкретной редактируемой конфигурации/ИБ. Методика 1С для Git прямо добавляет ConfigDumpInfo.xml в .gitignore как файл, не требуемый для хранения исходников:

https://its.1c.ru/db/content/metod8dev/src/developers/additional/i8105937.htm

Чистый checkout без CDFI допустим: полный /LoadConfigFromFiles ... -updateConfigDumpInfo создаёт актуальный файл после загрузки; при partial load существующий файл обновляется. configVersion нельзя синтезировать или согласовывать через Git.

Следовательно:

• Unica mutation tools не должны читать, изменять или генерировать CDFI;
• Git хранит только декларативные XML/BSL-исходники;
• CDFI должен быть локальным состоянием конкретной пары source set + ИБ и управляться runtime-слоем.

2. Заявленная первопричина build требует корректировки

Закреплённый v8-runner 0.5.1 уже:

• исключает ConfigDumpInfo.xml из source scanner;
• определяет изменения собственными SHA-256;
• коммитит hash snapshot после успешного platform step.

Поэтому утверждение «normal build пропускает mutation из-за устаревшего CDFI» текущим кодом runner не подтверждается и не должно оставаться установленной причиной без отдельного реального repro.

Обнаружен более прямой gap: hash storage адресуется через workPath и source-set (designer-<sourceSetName>), но не через identity информационной базы. При переключении infobase.connection с тем же checkout/workPath runner может использовать snapshot другой ИБ и вернуть Skipped до фактической синхронизации новой базы.

3. Текущий runner contract недостаточен для acceptance #76

BuildStep возвращает source_set, mode, ok и для partial только file_count. Он не возвращает точные processed paths/hashes.

Поэтому Unica не может доказанно выполнить требование «очистить dirty state только для фактически обработанных targets». Успешный Partial step source set не является подтверждением обработки каждого dirty target этого source set. До расширения runner contract безопасны только два варианта:

• full rebuild подтверждает весь выбранный source set;
• partial build не очищает target-level dirty state без точного receipt.

Также full dump runner выполняет через staging, а incremental/partial dump сейчас направляет непосредственно в рабочий source root. Именно это создаёт прямой риск перезаписи более нового source состоянием ИБ.

4. Новая runner-задача

Создана связанная задача:

• bug(runtime): изолировать hash/CDFI state по ИБ и не изменять ConfigDumpInfo в source tree alkoleft/v8-runner-rust#30

Она фиксирует runner-side root cause и целевой контракт:

• runtime/hash/CDFI state изолирован по fingerprint ИБ, source set и source root;
• CDFI хранится приватно под workPath, никогда не публикуется в source root;
• full build умеет bootstrap checkout без CDFI;
• typed build result возвращает точные requested/processed/skipped/conflicted paths и raw hashes;
• incremental/partial dump выполняется только через shadow/staging и по умолчанию fail-closed при divergence.

Runner #30 также уточняет существующую alkoleft/v8-runner-rust#24: rollback CDFI полезен как защита, но target-scoped merge tracked CDFI исправляет симптом. Целевая модель — CDFI вне Git и вне пользовательского source tree.

5. Обновлённая граница #76

После runner #30 ответственность Unica должна быть узкой:

• producer-independent pre/post raw scan для native mutations и ручных изменений;
• durable dirty state вне tracked 1C sources;
• affected targets и raw hashes в sourceSync receipt;
• интеграция с точным build/dump receipt runner;
• structured conflict без source writes;
• предупреждение, если ConfigDumpInfo.xml отслеживается Git;
• CDFI не является source target, format evidence или частью publication bundle.

Критерий code.patch → build → partial dump пока следует реализовывать через ручную BSL-правку: #73 остаётся открытой, PR #86 закрыт без merge, а unica.code.patch отсутствует в текущем main.

6. Последствия для текущего WIP

Локальная WIP-архитектура #76 не должна продолжаться без пересмотра, потому что она:

• ключует durable state только workspace identity, не ИБ;
• использует CDFI рабочего source root как pinned seed;
• планирует публиковать CDFI обратно в source;
• считает все dirty targets успешного source-set step обработанными без точного runner receipt.

Полезные части WIP — raw-byte fingerprints, CAS, lifecycle lease и default fail-closed publication — можно сохранить после переноса runtime ownership в runner. PR #87 и текущий WIP остаются прототипами, а не источником нового контракта.

Обновлённые acceptance criteria

• clean clone не содержит CDFI;
• full build создаёт private per-IB CDFI, Git tree остаётся чистым;
• две ИБ с одним checkout/workPath не разделяют hash/CDFI state;
• смена connection не приводит к ложному Skipped;
• meta.edit/manual BSL edit → build → partial dump сохраняет source bytes;
• divergence без force ничего не записывает;
• build/dump возвращает точные requested/processed/skipped/conflicted targets и hashes;
• restart сохраняет dirty baseline конкретной ИБ;
• Unica никогда не синтезирует platform configVersion и не включает CDFI в source receipt.

[zeegin]

Новая узкая реализация от актуального main: Draft PR #150 — #150

В Unica сделано только то, что не требует недостоверного runner receipt: CDFI исключён из format evidence, tracked CDFI даёт предупреждение, applied partial/incremental dump fail-closed на всех runtime-входах; full dump и dry-run остаются доступны. Полный dirty-state/sourceSync acceptance #76 этим PR не закрывается и ждёт runner-side контракт alkoleft/v8-runner-rust#30.