weichen
ea66f4456f
- remediation master record for 5 resolved + 1 deferred + 1 open issues - ISSUES.md rows with evidence dates and lesson links - LESSON-20260926-failclosed-bypass-contract (validated) - remediation/lessons INDEX hooks + CURRENT task row (docs apply receipt)
2.6 KiB
2.6 KiB
开发经验与注意事项
先按本任务模块、路径、症状和机制检索，再读命中条目的适用条件与来源。执行步骤与维护要求见 闭环规范；事实入口见 问题台账。这些是仓库可共享的外部经验，不依赖单个聊天会话或某个客户端私有记忆。
| lesson_id | 触发条件 / 关键词 | 注意事项 | lesson_state | 主记录 / 最近复核 |
|---|---|---|---|---|
| LESSON-20260923-nullable-duty | docgov、SQL、nullable、23503、可选职责、创建/heal | 检查所有写入口的缺席值语义；用真实 PG 验证 NULL/FK | validated | 可选职责持久化；2026-09-23 |
| LESSON-20260923-content-hash | docrevision、canonicalize、hash、bootstrap、hard-break、404、水合 | 保持文本语义并检查账本/文件一致性；新数据通过不能覆盖旧数据迁移 | validated | 正文规范化与投影；2026-09-23 |
| LESSON-20260923-matrix-status-cas | FEATURE-MATRIX、docs-apply、record_id、merge conflict、CAS | 矩阵/CURRENT 行变更走 docs apply；合并后核验状态列未被回退 | validated | 矩阵状态 CAS；2026-09-23 |
| LESSON-20260924-pi-tool-boundaries | PI、MCP、readonly、path、snapshot、process-group | 路径语义与快照边界一致，合法路径和拒绝路径都验收 | validated | 文件工具边界；2026-09-24 |
| LESSON-20260924-cursor-hook-advisory-gates | Cursor、hooks、advisory、fail-open、probe、stdin | hook 与执行器分层；契约未知 fail-open；审计日志放 ignore 路径 | candidate | 客户端 hook 门禁；2026-09-24 |
| LESSON-20260924-deny-only-submit | 非编制、DOC_DUTY、400、run/edit、送审 | 权限哨兵映射 403；三道门协同放宽；ActorIsMember 不复用 RoleSystem | validated | deny_only_submit；2026-09-24 |
| LESSON-20260926-failclosed-bypass-contract | IDOR、旁路、fail-open、白名单前缀、sh -c、validated_only、untracked、table_owners | 旁路入口必须继承主路径硬边界+SQL 防御纵深；门禁/授权器/执行器对未知默认拒绝；安全契约由执行器硬拒不依赖注释 | validated | 旁路与未知即拒绝契约；2026-09-26 |
validated 的证据范围见各条目；本日复核为历史材料和源码阅读，未重跑产品回归。后续按机制补充，过时条目标 superseded/retired 并保留替代链接。