qinglong/docs/adr/ADR-0302-local-owner-console-application-runtime-ownership.md

ADR-0302：Local Owner Console Application Runtime 实现归属

• 状态：Accepted
• 日期：2026-08-09
• 关联：D-05、D-06、D-17、D-85、D-87、D-121、D-213、D-257、ADR-0143、ADR-0209、ADR-0267、ADR-0276、ADR-0296、ADR-0301

上下文

schema v4 根行数棘轮显示 @qinglong/local-owner-console 只有 7 个 source，却由根 index.ts 承担 604 个审计行。该文件不是薄 export，而是完整的短生命周期 Application Runtime：验证 POSIX UID、目录/文件 ownership、mode、device/inode，读取并清除 pepper material，构造 local_console principal，打开 Local SQLite bootstrap authority，恢复/发布 credential delivery，并持有 close fence。

这些能力与 bootstrap、credential-recovery、delivery、authentication 目录共享同一 Owner Console authority、版本与进程生命周期； 根 package specifier 是公开契约，但物理 src/index.ts/dist/index.js 不是。为它再建 package 会制造一个只为目录形状存在的微型边界。

移动前 GitNexus 显示根文件与 openLocalOwnerConsole 均为 LOW、0 direct/0 process；最宽的 LocalOwnerConsoleConfigurationError 为 MEDIUM（10 direct/10 total/0 process），identity 为 LOW 2/4/0，其他 helper 与返回对象 方法均为 LOW、0 process，只有 close 为 LOW 1/1/0。没有 HIGH 或 CRITICAL，因此本批不改变 POSIX proof、pepper custody、 credential recovery、replay、authority TTL 或 close 语义。

决策

1. 将根实现原样归入 src/application-runtime/localOwnerConsole.ts，只调整到既有 bootstrap、credential-recovery 与 delivery 目录的相对 import。
2. 不保留根 wrapper。manifest 的 main、types 与根 export 直接映射嵌套编译产物；公开 @qinglong/local-owner-console specifier、symbol、类型和 error identity 保持不变。
3. package 内根契约测试改用公开 self-reference；依赖防火墙把新的 Application Runtime 路径登记为受审 ceremony consumer，身份认证 authority allowlist 不扩大。
4. package ledger 将根文件/根行 hard cap 从 1/604 降为 0/0；一个 package 可以没有物理根 source，公开入口由 manifest 精确映射领域 module，不以装饰性 index.ts 换取目录外观。
5. 不新增 workspace package、生产依赖、数据库对象、connection、timer、listener、进程、binary 或部署单元。

被拒绝的方案

• 保留根 facade：物理旧路径没有兼容价值，只会留下无职责 root cap 和包内反向依赖。
• 拆成 POSIX Proof、Owner Recovery 新 package：两者没有独立部署、版本或故障边界，会扩大低配部署的 importer、lockfile 与 SBOM。
• 同时拆分 604 行 Runtime：路径归位可证明零行为变化；同步重写 custody/recovery/close 顺序会扩大安全审查面。
• 保留空 index.ts：空入口仍是无语义文件；manifest 已能稳定提供根 package specifier。

接受条件

1. Local Owner Console 保持 7 source，root 1→0、604→0 审计行，nested 6→7；workspace 保持 19 package/768 source， root 38→37、nested 730→731。
2. 根 package specifier 与所有既有 subpath 保持；Console、完整 19-package clean build/test 和 backend 通过。
3. 旧根源码与 clean build dist 根产物均不存在；实现只在 application-runtime 产生。
4. dependency/boundary/Edge/Local image 与十档本机制品门 compatible，低配 Profile 预算不回退。
5. 强制 GitNexus 不增加产品流程，关键 symbol 调用半径不扩大，detect_changes 保持 low/0 affected process。

接受证据

• package boundary schema v4 报告 Console 为 7 source、0 root/0 root lines/7 nested；workspace 仍为 19 package/768 source、 37 root、731 nested，singleSourcePackages=[]。
• Console 45/45、完整 19-package clean build/test 与 backend 1,112（1,110 pass/2 skip/0 fail）通过；clean build 的 dist 根为空， 只在 dist/application-runtime 生成 localOwnerConsole.*。
• dependency 47/47、package boundary 7/7、Edge import 与 Local image 审计全部 compatible；受审 ceremony consumer 路径迁移后 未放宽 identity authority。
• 十档本机制品门全部 compatible：基础 Edge 为 3,635,197 bytes/332 files/48 modules；最大 Standalone Application AI 为 6,123,790 bytes/491 files/104 modules，各档 artifact/file/module/RSS 均未越界。
• 强制 GitNexus 刷新为 43,338 nodes/98,546 edges/1,701 clusters/269 flows。移动后 openLocalOwnerConsole 仍为 LOW、 0 direct/0 total/0 process，配置错误保持 MEDIUM 10/10/0，identity 保持 LOW 2/4/0，close 保持 LOW 1/1/0； auditSourceImports 仍为 LOW 0/0/0。detect_changes all 为 12 files/31 symbols，compare develop 为 14/34，均 low/0 affected process。
• 本批不修改 SQL、migration、生产依赖或 Cluster 状态，不需要重复 PostgreSQL HA 物理门。