71 lines
7.5 KiB
Markdown
71 lines
7.5 KiB
Markdown
# Business Plugin V1 验收矩阵
|
||
|
||
| ID | 类别 | 验收项 | 预期证据 | 状态 |
|
||
|---|---|---|---|---|
|
||
| AUTH-01 | 鉴权 | Core 管理员登录控制面 | `plugins/plugin-admin/main_test.go:TestAdminLoginDoesNotExposeCoreTokens`；本地浏览器登录 | passed |
|
||
| AUTH-02 | 鉴权 | Core 2FA 登录 | challenge 一次性消费，成功创建会话 | passed |
|
||
| AUTH-03 | 鉴权 | 普通用户登录和 API | `plugins/plugin-admin/main_test.go:TestOrdinaryCoreUserIsRejected` | passed |
|
||
| AUTH-03A | 鉴权 | Core CAPTCHA 配置与一次性 proof | `TestCaptchaConfigReturnsOnlyPublicFields`、`TestLoginForwardsCaptchaProof`；登录页按 provider 渲染挑战 | passed |
|
||
| AUTH-04 | 会话 | 过期、撤销、登出和刷新 | `plugins/plugin-admin/main_test.go:TestRefreshRevalidatesAdminRole` | passed |
|
||
| AUTH-05 | CSRF | 所有写请求 | `plugins/plugin-admin/main_test.go:TestMutationRequiresCSRFAndIdempotency` | passed |
|
||
| SEC-01 | 秘密 | 浏览器、URL、HTML、JS、LocalStorage、下载、日志 | 登录/配置测试断言 token 和 secret 不回显；浏览器 DOM 未出现 Core token | passed |
|
||
| SEC-02 | 出站 | Core URL、重定向、代理和 SSRF | `TestHealthProbeRejectsRedirectAndRequiresReadiness`；loopback URL 校验 | passed |
|
||
| SEC-02A | 市场出站 | 索引/归档 HTTPS、精确主机 allowlist、DNS 私网拒绝、体积和重定向门禁 | `main_test.go:TestRemoteMarketplaceRequiresAllowlistAndExpiry`；`marketplace.go` 出站策略 | passed |
|
||
| SEC-03 | 脱敏 | Core 响应和错误 | token/password/secret/cookie 不出现在响应和日志 | passed |
|
||
| DEPLOY-01 | 发布完整性 | 安装提交 pin | `deploy/install.sh` 对 tag 要求 `PLUGIN_COMMIT_SHA`，并校验检出 commit；脚本可从 immutable commit URL 获取 | passed (local) |
|
||
| DEPLOY-02 | 路径安全 | 安装/卸载根目录与父路径 | 安装路径拒绝根目录、`.`/`..` 和任一级符号链接父路径 | passed |
|
||
| MAN-01 | 清单 | 未知字段、尾随 JSON、路径跳转 | `plugins/plugin-admin/internal/manifest/manifest_test.go`；包上传 smoke | passed |
|
||
| MAN-02 | 签名 | Ed25519、key ID、哈希 | `manifest_test.go:TestSignatureAndKeyID`；生产不受信发布者路径 | passed |
|
||
| MAN-03 | 兼容 | Core baseline、tested versions、capability | `manifest_test.go:TestCompatibility`；上传卡片显示 compatible | passed |
|
||
| LIFE-01 | 安装 | staging、原子切换、失败回滚 | `main_test.go:TestPackageInspectionAndAtomicInstall`；真实上传后 active revision 可见 | passed |
|
||
| LIFE-01A | 市场入库 | 仅从受控索引下载，校验哈希/清单后保持 disabled，不启动进程 | `main_test.go:TestMarketplaceInstallStagesPackageWithoutStartingAndDeleteSupportsHTTPDelete` | passed |
|
||
| LIFE-02 | 启停 | enable/disable/drain | 停用路径有 SIGTERM + drain 超时逻辑；进程组清理和外部服务不误停 | passed |
|
||
| LIFE-03 | 升级 | 新 revision 健康后切换 | 失败升级保留 active；模式切换不继承端点；成功提交后才切换进程 | passed |
|
||
| LIFE-04 | 卸载 | 先停用再卸载 | 先提交注册表删除，成功后再清理插件资源，不删除 Core 数据 | passed |
|
||
| LIFE-04A | 删除接口 | `DELETE /api/plugins/{id}` 与卸载语义一致 | 市场生命周期测试覆盖标准 DELETE | passed |
|
||
| MENU-01 | 菜单 | preview/apply 自有 `custom_menu_items` | `main_test.go:TestMenuPreviewAndApplyPreserveOtherMenuItems` | passed |
|
||
| MENU-02 | 嵌入 | iframe 和新窗口 | Plugin Admin 统一登录/刷新；订阅模块从统一控制面入口进入，iframe/新窗口均复用同一会话，不提供第二个登录页或 Cookie | passed |
|
||
| API-01 | allowlist | 未声明路径和查询参数 | `allowedCorePath` 单元路径门禁；业务插件自身 allowlist 测试 | passed |
|
||
| API-02 | Core 错误 | 401/403/409/429/5xx | 失败关闭、刷新一次、错误脱敏和请求 ID 传播 | passed |
|
||
| UI-01 | 响应式 | 425px、900px、1440px | 本地 Browser 验收：三个视口 `scrollWidth == innerWidth`，插件卡片可见 | passed |
|
||
| OPS-01 | 健康 | healthz/readyz、版本和 request ID | 控制面 HTTP smoke + 插件清单检查；健康/就绪响应含版本 | passed |
|
||
| OPS-02 | 权限 | 低权限账号、secret 文件和网络 | systemd 示例使用低权限账号、禁止提权、限制读写目录 | passed |
|
||
| REG-01 | 重建 | 清空 projection/cache | 控制面注册表可从磁盘恢复；健康 command/external 插件启动时重探 | passed |
|
||
| REG-02 | 兼容 | Core 升级/降级和旧插件 | 未测试版本保持 disabled，启动恢复再次检查 baseline | passed |
|
||
|
||
## 命令门禁
|
||
|
||
控制面和每个业务插件至少执行：
|
||
|
||
```sh
|
||
go test ./... -count=1
|
||
go vet ./...
|
||
node --check <all-ui-scripts>
|
||
release build (signed `.s2plugin` for business packages)
|
||
manifest verification
|
||
bash -n <all-shell-scripts>
|
||
git diff --check
|
||
```
|
||
|
||
浏览器验收必须保存三种视口截图、网络敏感字段扫描结果、iframe/新窗口登录结果、刷新恢复、停用、升级和回滚证据。Mock Core 只能证明契约；具备测试环境时必须追加真实 Core 登录、2FA、权限、分页和错误联调。
|
||
|
||
## 本轮证据
|
||
|
||
- `plugins/plugin-admin` 和 `plugins/subscription-admin`：`go test -race ./...`、`go vet ./...`、`node --check ui/app.js` 均通过；`make check` 还覆盖 UI typecheck/build、全部 shell 语法和部署路径安全回归。
|
||
- `plugins/subscription-admin/package.sh` 生成的 `.s2plugin` 已通过 `unzip -t`，并通过控制面真实上传接口进入 `disabled` 状态。
|
||
- 本地浏览器登录后，控制面首页、插件市场和操作记录可访问；普通登录与 Turnstile 模拟登录在 425、900、1440 视口均通过，无横向溢出或敏感响应字段。
|
||
- 仍需部署环境追加：真实生产签名密钥、发布归档/市场索引、跨实例共享会话、真实 Core iframe 刷新和跨节点升级演练；这些属于部署级门禁，不宣称已在本地完成，也不改变本地 V1 控制面契约。
|
||
|
||
浏览器脚本通过 `PLUGIN_SCREENSHOT_DIR` 输出 425px、900px、1440px 截图；本轮使用系统 Chrome 运行普通控制面、Turnstile fixture 和订阅模块三套验收，截图保留在本机临时证据目录。
|
||
|
||
## 本地生命周期硬化证据
|
||
|
||
- `plugins/plugin-admin/main_test.go:TestRecoverExternalPluginAfterRestart` 验证外部服务重启后重新探测并保持健康。
|
||
- `plugins/plugin-admin/main_test.go:TestRecoverCommandPluginAfterRestart` 验证托管 command 插件重启后重新分配端口、启动进程组并探测健康/就绪。
|
||
- `plugins/plugin-admin/main_test.go:TestPluginLockSerializesLifecycleMutations` 验证同一插件生命周期互斥。
|
||
- `plugins/plugin-admin/main_test.go:TestIdempotencyKeyRejectsDifferentOperationHash` 和 `TestIdempotencyKeyReplaysSameBodyAndRetainsFailedOperation` 验证服务端请求体指纹、失败终态保留与冲突拒绝。
|
||
- `plugins/plugin-admin/main_test.go:TestUpgradeDoesNotCarryEndpointAcrossServiceModes` 验证 command/external 模式不继承错误端点。
|
||
- `tests/deploy-path-safety.sh` 验证安装、卸载和本地安装器拒绝符号链接父路径及缺失父目录，避免 root 操作越界。
|
||
- `plugins/plugin-admin/main_test.go:TestRecoverCommandPluginAfterRestart` 使用有界 5 秒启动窗口，验证解释器型 command 插件在慢启动环境下仍可恢复，超时会清理进程。
|
||
- `go test -race ./... -count=1`、`go vet ./...`、全部 UI/测试脚本 `node --check`、包构建、`manifestcheck`、`unzip -t` 和 `git diff --check` 已通过。
|