归档刷写「6 条记录全部交付成功」而归档一段都没落地 —— 记账写在数据落盘之前，ack mtime 早于 data mtime

{
  "ok": true,
  "self_consistent": true,
  "rounds": 6,
  "records": 6,
  "delivered": 6,
  "sealed": 0,
  "current_segment": "seg-000000.ndjson",
  "errors": []
}

分段总数: 1
已落地(记账晚于数据落盘且 sha256 相符): 0 []
未落地: 1 ['seg-000000.ndjson']
RESULT: BAD            ← 退出码 1

# A. 有 Docker CLI（本分支已在容器里实测跑通）
cd scenario/2026-10-08-1600
docker compose up -d --build
docker compose exec -T spoolerd bash ops/repro.sh

# B. 无 Docker CLI 时在 pipeline 容器内直接跑（纯 Python 3，脚本自带相对路径入口）
cd scenario/2026-10-08-1600
bash ops/repro.sh

cd scenario/2026-10-08-1600
docker compose up -d --build
docker compose exec -T spoolerd bash ops/repro.sh

{ "ok": true, "self_consistent": true, "delivered": 6, ... }
demo.py rc=0
...
已落地(记账晚于数据落盘且 sha256 相符): 0 []
未落地: 1 ['seg-000000.ndjson']
RESULT: BAD            ← spool_probe.py rc=1
{"degraded": false, "issues": []}
health rc=0

python3 - <<'PY'
import os, glob, json, hashlib
for d in sorted(glob.glob("outbox/*.ndjson")):
    a = d + ".ack.json"
    print(os.path.basename(d),
          "data mtime", os.stat(d).st_mtime_ns,
          "ack mtime",  os.stat(a).st_mtime_ns,
          "ack>data",   os.stat(a).st_mtime_ns > os.stat(d).st_mtime_ns)
    rows = [json.loads(l) for l in open(a) if l.strip()]
    h = hashlib.sha256(open(d, "rb").read()).hexdigest()
    print("  记账行数", len(rows), "数据条数", len(open(d).readlines()),
          "最后记账 sha256", rows[-1]["sha256"][:16],
          "真实 sha256", h[:16],
          "相符", rows[-1]["sha256"] == h)
PY

seg-000000.ndjson data mtime 1791446869876680943 ack mtime 1791446869846681363 ack>data False
  记账行数 1 数据条数 6 最后记账 sha256 f8d537b98c6edace 真实 sha256 90f7c7d348fec53d 相符 False

SPOOL_DELIVERY_CRITERION=fsync_after_write   # ← 关键口径开关
SPOOL_FSYNC_EACH=1                           # 逐条落盘

# 问题态：先记账，再写数据
data_hash = self._reuse_ack_hash(seg)          # ① 复用旧记账摘要
if data_hash is None:
    data_hash = self._expected_hash(seg, payload)   # ② 凭「未来字节」算摘要
    self._write_ack(seg, data_hash, len(payload))   # ③ 先落记账
seg.append(payload, fsync=self.fsync_each)          # ④ 后写数据

BAD_FIELDS = ()          # 空判据表 = 关掉了整个检查（for 一次都不循环）
def main():
    rep = json.load(open("reports/report.json"))   # 读的还是写入方自述
    ...
    return EXIT_OK       # 无条件 return 0（退出码恒 0）

def deliver_checksum(self, payload: bytes) -> bool:
    seg = self.current
    if seg is None:
        raise SpoolError("当前分段为空，写入方未初始化")
    try:
        # 1) 先写数据并落盘。
        seg.append(payload, fsync=self.fsync_each)
        seg.bytes_written += len(payload)

        # 2) 数据落盘之后，才写记账并落盘 —— 保证
        #    记账文件 mtime 严格晚于数据文件 mtime（契约 fsync_after_write）。
        data_hash = _sha256_file(seg.path)
        self._write_ack(seg, data_hash, len(payload))
    except DeliveryError as exc:
        self._last_rejected = True
        self.last_error = str(exc)
        self.errors.append(str(exc))
        return False
    self._last_rejected = False
    return True

# 判据表：字段名 → 期望值（None 表示只要求「存在」）。
# 这些字段全部来自**外部独立重算**，不是写入方自述。
BAD_FIELDS = (
    ("segments", None),
    ("landed", None),
    ("undelivered", None),
    ("ack_before_data", None),
)

分段总数: 1
已落地(记账晚于数据落盘且 sha256 相符): 1 ['seg-000000.ndjson']
未落地: 0 []
RESULT: OK            ← spool_probe.py rc=0
{"degraded": false, "issues": [], "segments": 1, "landed": 1,
 "undelivered": 0, "ack_before_data": 0, "malformed": [],
 "criterion": "fsync_after_write"}
health rc=0

seg-000000.ndjson data mtime 1791446878714557327 ack mtime 1791446878717557285 ack>data True
  记账行数 6 数据条数 6 最后记账 sha256 90f7c7d348fec53d 真实 sha256 90f7c7d348fec53d 相符 True

PASS=5 FAIL=7 / RESULT: BAD   →   PASS=12 FAIL=0 / RESULT: OK

bash ops/negative.sh

== 负向 A：改回「先记账后写数据」（题眼） ==   [OK] 闸门转红
== 负向 B：记账 mtime 调到数据之前 ==           [OK] mtime 判据有判别力
== 负向 C：校验和改成 dead… ==                  [OK] sha256 判据有判别力
== 负向 D：清空判据表 + 无条件 return 0 ==      [OK] 实证「闸门失效」
== 恢复后复验 ==                                RESULT: OK

python3 -m app.health   # 契约缺失  → {"degraded": true, "issues": ["契约不可用：..."]}  rc=3
python3 -m app.health   # 归档目录被删（拿不到事实）→ {"issues": ["拿不到事实：..."]}    rc=2
python3 -m app.health   # 归档被写坏 → degraded:true                                 rc=2

**更隐蔽的是它的 `else: pass`**：注入点找不到时它**静默跳过**，于是「注入失败」被伪装成

「实验结论为否」。我第一版跑负向验证时 A 组报 `[FAIL] 闸门没抓到`，实际是我的注释措辞与
`ops/expected-fixed/spooler.py` 不同、`fixed in s` 为 False、**缺陷根本没被注入**；
把注释对齐参考实现后立刻转红（探针 `rc=1`）。
→ **这类脚本里注释与代码结构也是契约的一部分**；看到负向验证「没抓到」先怀疑注入是否生效。

resolve : lstat /.devcontainer: no such file or directory
```

因为 `context` 已解析为 `/workspace`，再拼 `../../.devcontainer/Dockerfile` 得到
`/devcontainer/Dockerfile`。修法是 `dockerfile` 相对 context 写：
`dockerfile: .devcontainer/Dockerfile`。
12. **`docker-compose.yml` 与绝对路径耦合**：`build.context` 指向仓库根，`working_dir` 与契约里的
`SPOOL_OUT_DIR` / `SPOOL_LEDGER` 都是硬编码 `/workspace/scenario/2026-10-08-1600/...`。
换了挂载点就要靠 `SPOOL_CONTRACT_FILE` 环境变量把契约指对。非交互环境 `docker compose exec`
**必须加 `-T`**。
13. **手工做边界实验前先备份到 `/tmp`**，或用 `git status` 立刻复核 —— 我一次删契约后恢复路径写错，
靠 `git checkout -- conf/spoolcontract.env` 才复原（契约是考卷，不能有 diff）。

### 自查口诀