灰度发布回滚冷静期失效：判据只读动作名，没读 last_action_version 与 last_action_at，叠加部署器硬编码回滚版本号

== canaryctl 决策  CANARY=0.0.0-broken-canary  STABLE=0.0.0-stable-clean  REPLICAS=6
  上一次操作   : rollback  版本=0.0.0-broken-canary
  决策         : wait
  理由         : 上一次操作是 rollback，正处于回滚冷静期
  目标版本分布 : {}

git fetch origin
git checkout 2026-09-23-0800
cd scenario/2026-09-23-0800

docker compose up -d --build

# 一键看症状
docker compose exec app bash ops/verify.sh     # 问题态：PASS=4 FAIL=9
docker compose exec app bash ops/repro.sh      # 逐步看现场
docker compose exec app bash ops/accept.sh     # 业务侧：RESULT: BAD

# 进容器动手修（app/ 是 bind mount，容器内改 = 宿主机改）
docker compose exec app bash

$ python3 app/canaryctl.py
== canaryctl 决策  CANARY=0.0.0-broken-canary  STABLE=0.0.0-stable-clean  REPLICAS=6
  上一次操作   : rollback  版本=0.0.0-broken-canary  时间戳=1790121384
  决策         : wait
  理由         : 上一次操作是 rollback，正处于回滚冷静期
  目标版本分布 : {}

$ python3 app/deployer.py step-scale
[deployer] step-scale: 回滚到 0.0.0-legacy-2024，副本先行降到 1   ← 版本号是写死的

$ python3 clients/check_release.py
[BAD] 等待动作必须带可解释的阻塞原因（wait 不换版本，门禁无法通过） —— wait 只观察不部署
RESULT: BAD

$ bash ops/verify.sh
verify.sh 结果： PASS=4 FAIL=9

last = (current.get("last_action") or "").strip()
if last == ACTION_ROLLBACK:
    return (ACTION_WAIT, f"上一次操作是 {last}，正处于回滚冷静期", ...)
return (ACTION_FULL, f"{canary} 灰度达标，可全量", {})

def rollback_hold_remaining(conf: dict, current: dict, now: float = None) -> int:
    """回滚冷静期剩余秒数。<=0 表示没有生效中的冷静期。"""
    now = time.time() if now is None else now

    # ① 动作
    if (current.get("last_action") or "").strip() != ACTION_ROLLBACK:
        return 0

    # ② 版本：只认「针对这个灰度版本」的那次回滚
    held = (current.get("last_action_version") or "").strip()
    canary = (conf.get("CANARY_VERSION") or "").strip()
    if not held or not canary or held != canary:
        return 0

    # ③ 时间：每次现算，不能把"剩余秒数"落盘复用（下次读到就过期了）
    try:
        last_at = float(current.get("last_action_at") or 0)
    except (TypeError, ValueError):
        return 0
    if last_at <= 0:
        return 0

    hold = conf_int(conf, "ROLLBACK_HOLD_SEC", 1800)
    return int(hold - (now - last_at))

remaining = rollback_hold_remaining(conf, current, now=now)
if remaining > 0:
    # 命中冷静期 -> 必须给出明确的 rollback 动作，把副本换回稳定版本。
    # 这里**不能**返回 wait：wait 不换版本，会把集群留在「半灰半稳」的中间态，
    # 下一次任意手工 apply 就会把没验证过的灰度版本推上去 —— 这正是事故的成因。
    return (
        ACTION_ROLLBACK,
        f"冷静期内：{canary} 在 {remaining}s 前被回滚过，"
        f"还需 {remaining}s 才能重新全量；先把副本回滚到 {stable}",
        {"hold_remaining_sec": remaining},
    )

# 回滚目标版本**只能**来自 conf/release.env 的 STABLE_VERSION。
# 原来的 ROLLBACK_TARGET_VERSION = "0.0.0-legacy-2024" 已删除。

def cmd_step_scale(conf: dict) -> int:
    state = load_json(STATE)

    # 回滚目标 = 配置里的 STABLE_VERSION（绝不写死）
    version = (conf.get("STABLE_VERSION") or "").strip()
    if not version:
        print("[deployer] step-scale: 配置里没有 STABLE_VERSION，拒绝执行", file=sys.stderr)
        return 3

    # 契约 §3：回滚要保留 ROLLBACK_MIN_REPLICAS 个副本
    keep = canaryctl.conf_int(conf, "ROLLBACK_MIN_REPLICAS", 1)

    # 加固：口径漂移直接拒绝执行，而不是默默照做
    state_stable = (state.get("stable_version") or "").strip()
    mismatch = (state.get("action") == canaryctl.ACTION_ROLLBACK
                and state_stable and state_stable != version)
    ...

docker compose exec app bash -c '
bash ops/scenario.sh mismatch >/dev/null
echo "--- 现场 A：冷静期内，应 rollback ---"; python3 app/canaryctl.py | grep 决策
bash ops/scenario.sh red-herring >/dev/null
echo "--- 现场 B：回滚针对别的版本，应 full_rollout ---"; python3 app/canaryctl.py | grep 决策
bash ops/scenario.sh none >/dev/null
echo "--- 对照：无未了结回滚，应 full_rollout ---"; python3 app/canaryctl.py | grep 决策
'

--- 现场 A：冷静期内，应 rollback ---
  决策         : rollback
--- 现场 B：回滚针对别的版本，应 full_rollout ---
  决策         : full_rollout
--- 对照：无未了结回滚，应 full_rollout ---
  决策         : full_rollout

== canaryctl 决策  CANARY=0.0.0-broken-canary  STABLE=0.0.0-stable-clean  REPLICAS=6
  上一次操作   : rollback  版本=0.0.0-broken-canary  时间戳=1790121411
  决策         : rollback
  理由         : 冷静期内：0.0.0-broken-canary 在 1199s 前被回滚过，还需 1199s 才能重新全量；
                 先把副本回滚到 0.0.0-stable-clean
  冷静期剩余   : 1199s
  目标版本分布 : {'0.0.0-stable-clean': 6}

  第 1 次独立进程: rollback
  第 2 次独立进程: rollback
  第 3 次独立进程: rollback
--- 重启容器后再跑 ---
  重启后: rollback

$ python3 app/deployer.py step-scale
[deployer] step-scale: 回滚到 0.0.0-stable-clean，保留 2 个副本

$ python3 -c "import json;print(json.load(open('rollout/want.json'))['versions'])"
{'0.0.0-stable-clean': 2}

$ docker compose exec app bash ops/verify.sh
...
==============================================
verify.sh 结果： PASS=13 FAIL=0
==============================================

$ docker compose exec app bash ops/accept.sh
通过 4 项，不通过 0 项
RESULT: OK

[BAD] 部署器目标快照与控制器决策一致 —— 部署器={'0.0.0-stable-clean': 2} 控制器={'0.0.0-stable-clean': 6}
RESULT: BAD

python3 app/deployer.py step-scale      # 第 1 步：降副本
python3 app/deployer.py apply           # 终态：铺满
python3 clients/check_release.py        # → RESULT: OK

bash fix/apply_fix.sh            # 应用参考修复（会覆盖你自己写的 app/canaryctl.py！）
bash fix/apply_fix.sh --restore  # 还原问题态
bash fix/apply_fix.sh --status   # 看当前处于哪一态

# 复现
git checkout 2026-09-23-0800
cd scenario/2026-09-23-0800
docker compose up -d --build
docker compose exec app bash ops/verify.sh      # 问题态 PASS=4 FAIL=9
docker compose exec app bash ops/repro.sh       # 逐步看三个现场
docker compose exec app bash ops/accept.sh      # RESULT: BAD

# 动手修（改 app/canaryctl.py 与 app/deployer.py，bind mount 直改宿主机）
docker compose exec app bash

# 验证
docker compose exec app bash ops/verify.sh      # PASS=13 FAIL=0
docker compose exec app bash ops/accept.sh      # RESULT: OK

# 收尾
docker compose down -v