From b75da20afab435f34813e5cbb35d33c9022c1bd4 Mon Sep 17 00:00:00 2001
From: agent-exec-transport <agent-exec-transport@localhost.invalid>
Date: Fri, 23 Oct 2026 05:36:02 +0000
Subject: [PATCH] agent-exec transport
 3745c0607397c1c668bcb4d81a25c8de/190ceecc9491

---
 scripts/e2e.sh | 40 ++++++++++++++++++++++------------------
 1 file changed, 22 insertions(+), 18 deletions(-)

diff --git a/scripts/e2e.sh b/scripts/e2e.sh
index dff7c338..cc161966 100644
--- a/scripts/e2e.sh
+++ b/scripts/e2e.sh
@@ -5,9 +5,9 @@
 #   1. 构建：RDM 二进制（RDM 仓 origin/main 临时 worktree，pins 物化）
 #            ＋ 基座 CLI（本 worktree modules/backend，建号用）
 #            ＋ frontend dist（本 worktree modules/frontend）
-#   2. 种子：RDM -bootstrap-admin（域管理员）→ serve 首启建基座存储 → identity ensure →
-#            基座 user bootstrap-admin（login-key 激活契约；--password 已被拒绝）→
-#            redeem+设密 → API rdm.project.create×2 ＋ rdm.ingest（主项目）
+#   2. 种子：RDM -bootstrap-admin（域管理员）→ SUPER_ADMIN_* → serve 首启建基座存储
+#            （超管）→ identity ensure → 超管密码登录会话 → API rdm.project.create×2
+#            ＋ rdm.ingest；普通账号（e2e-auditor 等）仍走 login-key 激活
 #   3. 验收：vite preview（dist＋/api 代理）→ npx playwright test
 #   4. 收尾：停 serve/preview，保存认证/失败工件到 $E2E_OUT
 #
@@ -108,10 +108,9 @@ RDM="$OUT/agent-system-rdm -data $DATA"
 log "bootstrap: RDM domain admin = $OWNER"
 $RDM -bootstrap-admin "$OWNER" >/dev/null
 
-# ── 凭据契约（2026-10-13 起）：--password 建号被 RECOVERY_CONTRACT_REPLACED 拒绝，
-# 改走 login-key 激活：serve 首启创建基座存储 → identity ensure → 基座首位账号
-# bootstrap-admin（激活 Key 交付）→ API redeem → 设密（PASSWORD2 为登录密码）。
-# auth on 时 serve / identity ensure 要求启动期超管环境；合成测试凭据（非真实秘密）。
+# ── 凭据契约：auth on 时超管由 serve 启动期 SUPER_ADMIN_OWNER/SUPER_ADMIN_PASSWORD
+# 建立（基座已禁用 bootstrap-admin）。种子 API 会话走超管密码登录；普通账号
+# （e2e-auditor 等）仍走 login-key 激活 → 设密（PASSWORD2）。合成测试凭据（非真实秘密）。
 : "${SUPER_ADMIN_OWNER:=e2e-superadmin}"
 : "${SUPER_ADMIN_PASSWORD:=E2eSuperAdmin#FixedTest9kQm2NpR}"
 export SUPER_ADMIN_OWNER SUPER_ADMIN_PASSWORD
@@ -132,16 +131,17 @@ stop_serve() {
   [ -n "${API_PID:-}" ] && { kill "$API_PID" 2>/dev/null || true; wait "$API_PID" 2>/dev/null || true; API_PID=""; }
 }
 login() {
+  # Seed API session uses serve-established superadmin (not E2E_OWNER).
   local i
   for i in $(seq 1 20); do
     if curl -sf -c "$JAR" -X POST "$API_BASE/api/auth/login" \
       -H 'Content-Type: application/json' \
-      -d "{\"owner\":\"$OWNER\",\"password\":\"$PASSWORD\"}" >/dev/null; then
+      -d "{\"owner\":\"$SUPER_ADMIN_OWNER\",\"password\":\"$SUPER_ADMIN_PASSWORD\"}" >/dev/null; then
       return 0
     fi
     sleep 0.25
   done
-  die "login failed"
+  die "superadmin login failed"
 }
 cmd() { # cmd <id> <params-json> → payload（失败即死，种子步骤不容忍部分成功）
   local id=$1 params=${2:-{\}}
@@ -151,27 +151,31 @@ cmd() { # cmd <id> <params-json> → payload（失败即死，种子步骤不容
     || die "command $id rejected"
 }
 
-# 阶段①：激活账号并建项目与需求台账（API；需 serve）。
+# 阶段①：超管会话 + 普通账号激活，再建项目与需求台账（API；需 serve）。
 start_serve
 JAR="$OUT/cookies.txt"
-log "seed: identity ensure + base first account (login-key 契约)"
+log "seed: identity ensure + base first account (SUPER_ADMIN session)"
 ID_OK=0
 for i in $(seq 1 15); do
   if "$OUT/agent-system" identity ensure --data "$DATA" --instance-id "e2e-audit" >/dev/null 2>&1; then ID_OK=1; break; fi
   sleep 1  # 服务端受控迁移（含 identity 表）可能晚于 HTTP 就绪
 done
 [ "$ID_OK" = 1 ] || { tail -5 "$OUT/serve.log"; die "identity ensure failed"; }
-"$OUT/agent-system" user bootstrap-admin --data "$DATA" --owner "$OWNER" \
-  --name "E2E 审计员" --out-file "$OUT/$OWNER.bootstrap.key" >/dev/null \
-  || die "base bootstrap-admin failed"
+# Legacy bootstrap-admin is disabled; super admin is established at serve startup
+# from SUPER_ADMIN_OWNER/SUPER_ADMIN_PASSWORD. Login via the normal session endpoint.
+login
+# Ordinary fixture owner (e2e-auditor): login-key 激活契约（与 e2e-reader 等相同；独立 jar，不覆盖超管会话）。
+"$OUT/agent-system" user create --data "$DATA" --owner "$OWNER" \
+  --out-file "$OUT/$OWNER.bootstrap.key" >/dev/null \
+  || die "auditor create failed"
 K=$(cat "$OUT/$OWNER.bootstrap.key")
-curl -sf -c "$JAR" -X POST "$API_BASE/api/auth/login-key/redeem" \
+JAR_OWNER="$OUT/$OWNER.cookies.txt"
+curl -sf -c "$JAR_OWNER" -X POST "$API_BASE/api/auth/login-key/redeem" \
   -H 'Content-Type: application/json' -d "{\"key\":\"$K\"}" >/dev/null || die "login-key redeem failed"
 # 激活会话仅能设密：设为 PASSWORD2（后续登录与规格消费一致）。
-curl -sf -b "$JAR" -c "$JAR" -X POST "$API_BASE/api/auth/password" \
+curl -sf -b "$JAR_OWNER" -c "$JAR_OWNER" -X POST "$API_BASE/api/auth/password" \
   -H 'Content-Type: application/json' -d "{\"next\":\"$PASSWORD2\"}" >/dev/null || die "password setup failed"
 PASSWORD=$PASSWORD2
-login
 log "seed: create projects"
 PID_MAIN=$(cmd rdm.project.create "{\"name\":\"$PROJ_MAIN\"}" | python3 -c 'import json,sys; print(json.load(sys.stdin)["projectId"])')
 PID_ISO=$(cmd rdm.project.create "{\"name\":\"$PROJ_ISO\"}" | python3 -c 'import json,sys; print(json.load(sys.stdin)["projectId"])')
@@ -292,7 +296,7 @@ export PLAYWRIGHT_BASE_URL="http://127.0.0.1:$UI_PORT" E2E_OWNER="$OWNER" \
   E2E_PROJECT_MAIN="$PROJ_MAIN" E2E_PROJECT_ISOLATED="$PROJ_ISO"
 set +e
 # 本脚本的种子只覆盖审计工作区。u7 现场验收用例依赖另一套入口，不在这里跑。
-# admin-create 场景复用本种子的基座管理员账号（bootstrap-admin）。
+# admin-create 场景复用本种子的基座超管会话（SUPER_ADMIN_*）。
 npx playwright test e2e/rdm-audit.playwright.ts e2e/rdm-cockpit.playwright.ts e2e/admin-user-create.playwright.ts --reporter=list >"$OUT/playwright.log" 2>&1
 PW_EXIT=$?
 set -e