[REQ-100] 安装/卸载事务提交语义 fail-open —— 账本写失败仍报成功

[jinjunnn]

现象

扩展安装/卸载在账本(receipt/record)写失败时仍提交事务并返回 ok:true,制造出「已落地但账本失真」的安装态 —— 后续卸载/更新会按错误或缺失的账本执行,是原子事务不变量的 fail-open。

根因(file:line)

• 安装:v2 record 写失败只降级为 warning,仍 commit(tx) 并返回成功:packages/ui-mac/src/main/ext-install-planner.ts:565 附近(注释「账本写失败不谎报安装失败」)。
• 卸载:破坏性副作用已发生后,removeRecordV2 失败仍 commit(tx) 返回 ok:true,仅附 warning:packages/ui-mac/src/main/ext-install-planner.ts:670。

违反的不变量

REQ-100「原子事务:staging/materialization + rollback/quarantine」—— 账本是事务的提交证据,写失败应 rollback/quarantine 而非 commit。

边界

• 属批次2 REQ-100(事务引擎接生产)范围,triage 时并入 REQ-100 子票流;与 [REQ-099] 损坏 v2 record 静默回退 v1 receipt 继续卸载 #256(损坏 record 回退)是同链但不同缺陷,不并票。

期望

账本写失败 → 事务 rollback 或将安装标记 quarantine(不可静默视为成功);卸载账本删除失败 → 不 commit,进入需人工/重试的 fail-closed 态;补账本写失败注入测试。

来源

批次1 Codex 只读诊断(REQ-099 #256 裁决「未覆盖发现」)。父需求 Refs #211(不 Fixes,父由验收 owner 手工关)。

[jinjunnn]

收口审计(2026-07-18,证据复核 + Codex 对抗确认):票面原指控的两处 fail-open(建票时坐标 planner:565 安装 warning+commit、:670 卸载 ok:true+warning)已随 #310→#390 重构不存在;引擎 commitReceipt 失败必回滚(ext-transaction.ts:1420-1426)、卸载尾部 removeRecordV2 失败返 ok:false(ext-install-planner.ts:3890-3897)、安装/卸载全路径账本写失败 fail-closed 均有测试。

但 Codex 对抗审计发现四处残留,本票范围收窄为此四项(修复 PR 将 Fixes 本票):

1. 授权账/授权收据写失败仍报成功:writeCapabilityGrantSync 与 bundle authorization receipt 写失败只入 warnings,主事务已标 committed 仍返 ok:true;恢复前滚同样终态化返 resumed-committed;全仓无对应写失败注入测试。ext-transaction.ts:769/:789/:801/:1432/:1446/:2281。
2. skills-enabled.json 授权投影发布失败仍报成功:installs.json 写入后 durable 允许集发布失败只写日志,writeLedgerFile 返 ok:true(合同 extension-install-ledger.md:173 甚至如此记载)。ext-receipt-v2.ts:590/:593/:602。
3. project residuals 批处理把删账失败包成 ok:true:单项失败入 failed[] 但外层无条件 {ok:true,failed},跨 IPC 呈现成功判别位。ext-project-residuals.ts:218/:226/:241、ext-ipc.ts:828。
4. 两条未策展 IPC 提交面缺账本写失败注入测试(票面明确要求):custom MCP(ext-ipc.ts:139/:147)与 npm plugin 导入(:275/:283)结构上 fail-closed 但无注入测试断言补偿(restoreMcpLeaf/removePluginEntryExact)与失败上报。