qinglong/docs/adr/ADR-0528-cross-domain-reconciliation-completion-rehearsal.md

ADR-0528：跨域 reconciliation completion 演练

• 状态：Accepted（D-426c3 源码候选，阶段实物以双架构 artifact gate 为准）
• 日期：2026-09-02
• 关联：ADR-0526、ADR-0527、D-397、D-398、D-399、D-426c3

背景

ADR-0527 已证明 exact stopped capture 可以经外部 review/Automation 决策完成一次正式 Automation 应用并回滚，但交付链仍停在 reconciliation_automation_rolled_back。产品代码已经具备 Secret/Config plan/decision/apply、Run History append-only preservation 和 completion v3；缺口在于 Trial Kit 没有把这些能力组成一个可下载、可审计、可中断重放的阶段产物。

同时，原有诊断把 Legacy Apps/Auths 的空表与含真实身份数据的表一律视为 identity_custody_required。2.x readiness 又要求这两张表存在，因此删除表制造“可完成样本”会被正式 inspector 拒绝，而保留空表又永远无法完成。这是状态分类不精确，不应由 fixture 绕过。

决策

1. reconciliation-rehearsal.sh 保留 ADR-0527 的 prepare、review、apply-rollback，新增 apply-plan 与 complete，不把人工决策合并为一个自动命令。
2. apply-plan 消费两个互相独立的 owner-private 文件：Automation row decision 和原始 review decision。它先应用并验证 Automation，再在该 exact head 上保存双侧终态 Run History，随后生成并验证 Secret/Config plan，停在 secret_config_decision_required。
3. complete 消费外部 Secret/Config candidate decision 和原始 review decision，执行 decision commit/verify、apply/verify，并以 completion v3 同时绑定 Automation apply、Secret/Config apply 和 Run History preservation。成功终态固定为 reconciliation_completed 且 adapterCount=3。
4. Run History 必须位于 Automation apply 与 Secret/Config plan 之间。preservation 不推进 instance head；Secret/Config plan 会推进 head。倒置顺序会使 preservation 丢失允许的 compare-and-swap 来源状态。
5. target 和 Legacy 在 completion 后继续保持 stopped。脚本固定 targetRestart=not_authorized、legacyRestart=not_authorized；重启属于后续独立 authority ceremony。
6. 外部 decision 目录必须为 current-UID 0700 canonical directory、恰好包含一个 0400|0600 regular file、与所有 authority/Legacy root 不重叠，并整体只读挂载。两个 decision 不得放在同一父目录。
7. completion-ready 2.x fixture 保留 readiness 所需完整 schema，只移除未知 PluginOwnedState，并让 Apps/Auths 保持空表。诊断仅在 Legacy 已知 identity-policy 表全部为空时把该域降为 informational/catalog_evidence；任一 identity 行、未知 schema、目标侧 identity 或查询异常仍维持原有 required/blocked 行为。
8. CI 同时保留一条 apply→verify→rollback→verify 流和一条独立 completion-ready 全链，避免 completion 证明覆盖回滚证明。fixture/decision generator 只存在仓库 CI，不进入 Trial Kit。
9. Trial Kit、verification、offline audit 升为 @v11/@v9/@v8，manifest schemaVersion=12；Local milestone 升为 @v7、schemaVersion=7。新增 required gate legacyUpgradeReconciliationCompletion=passed，旧证据不会被新 auditor 接受。

资源与产品边界

• 所有 reconciliation Operator 命令继续使用 128 MiB memory/swap、0.5 CPU、32 PID、无网络、只读 rootfs、drop-all 和 no-new-privileges；低配设备默认 headless 不变。
• 本切片不增加 package、production dependency、daemon、listener、timer、watcher、连接池或稳态资源。
• completion 是 stopped-state durable fence，不是 target/Legacy 重启授权、生产升级、Public Release 或用户真实数据自动迁移承诺。
• Cluster 继续使用 PostgreSQL/Kubernetes authority，不复用 Local SQLite/POSIX/Docker ceremony。

后果

阶段产物将同时回答两个问题：Automation 是否能安全回滚，以及可适配的 Automation、Secret/Config、Run History 是否能在服务仍停止时形成可验证 completion。含真实 Legacy identity 数据、未知 schema、Secret/Config 冲突、非终态 Run 或缺少任一外部 decision 的部署仍会失败关闭，需要后续专用 adapter 或人工恢复方案。