qinglong/docs/adr/ADR-0447-boot-shadow-and-non-origin-boundaries.md

ADR-0447：Boot Shadow 准入与非 Origin 边界

• 状态：Accepted
• 日期：2026-08-18
• 关联 RFC：QL-RFC-0001 D-02、D-355、PR-4
• 关联 ADR：ADR-0001、ADR-0002、ADR-0445、ADR-0446
• Amends：ADR-0002 的 Alpha Shadow allowlist 与 once/boot/grpc 裁决

上下文

Run domain 为未来触发协议保留了 once、boot 和 grpc execution origin，但 2.x 代码里的相似名称并不都代表独立的执行所有权边界：

• CronService.bootTask 在启动后筛选启用的 @boot Crontab，并显式调用 runSingle(id, 'boot')；这是一条真实、独立且由 Legacy Node worker 创建 ChildProcess 的触发路径。
• @once 当前只被 isSpecialSchedule 排除出 system/node 自动调度，没有独立自动触发器。用户从 HTTP 或 gRPC API 运行这类 Crontab 时仍进入 CronService.run，语义是 manual。
• gRPC runCrons 只是传输适配器，委托同一个 CronService.run(ids)；transport 不能替代 actor、trigger 与 execution owner。

如果仅因为领域枚举或 schedule/transport 名称存在就同时开放三类 origin，会把同一次 manual 执行错误分类，污染 Shadow 完整率和未来 Primary 门禁。

决策

1. QL3_SHADOW_ORIGINS 增加 boot。默认仍为 off，只有显式列出 boot 时才构造事实、加载 Shadow Repository 或增加 ChildProcess listener。
2. 复用现有 runSingle 的唯一 ChildProcess，不调用 Executor、不再次 spawn；Run 固定 executionOwner=legacy、origin/triggerType=boot、 triggeredBy=legacy:boot 与 legacy-cron:<id> task identity。
3. bootTask 只准入启用的 @boot 条目；disabled、@once 与普通 cron 表达式不进入 boot 路径。一次进程启动中的每个匹配条目只调用一次 runSingle(id, 'boot')，现有并发限制和 Legacy 状态仍是执行事实源。
4. 不把 @once schedule 推导为 once origin。当前没有独立 once trigger/admission identity；由用户 API 发起的 @once Crontab 仍是 manual。
5. 不把 gRPC transport 推导为 grpc origin。现有 runCrons 与 HTTP /crons/run 共用 CronService.run；未来只有出现具备独立认证 actor、 accepted identity 和 owner 决策的 gRPC trigger 时，才可另提准入 Gate。
6. once、grpc 保留在共享 domain/schema vocabulary 中，避免破坏持久化兼容和未来协议，但 Legacy Shadow allowlist 拒绝它们并产生有界、低敏配置告警。

资源与部署影响

• 不新增 package、生产依赖、schema、migration、表、索引、timer、watcher、线程、端口或部署对象。
• 默认关闭时只多一个缓存 Set 成员，没有数据库读取、任务摘要、listener 或写入。
• 启用时只为本来就会执行的 boot ChildProcess 写现有 Run/Attempt/Event；不扫描历史 Crontab，不产生后台对账循环。
• 路由设备与 standalone 使用相同的惰性进程内路径；cluster 节点不会因此获得新的本机 owner，也不会把 transport 当作跨节点 authority。

被拒绝的替代方案

同时开放 once、boot、grpc

拒绝。只有 boot 有独立的真实触发路径；其余两个名称不能证明 execution origin。

根据 cron.schedule === '@once' 改写 origin

拒绝。schedule 描述任务定义，不描述本次触发者；用户手动执行 @once 任务仍是 manual。

根据请求来自 gRPC 改写 origin

拒绝。传输协议不是 owner。HTTP 与 gRPC 当前调用同一 service 方法，按 transport 分裂会让相同行为产生不同 Run 语义。

为 boot 另建 Executor 或 scheduler

拒绝。Shadow 只能观察 Legacy 已创建的进程；第二个执行器会违反单 owner 和零双跑约束。

验证

• 环境边界验证 boot 可显式启用，而 once/grpc 继续拒绝；未知配置只产生有界告警。
• bootTask 合同验证只选择 enabled @boot，并以固定 boot origin 单次派发。
• 真实 ChildProcess + SQLite 集成验证一个 legacy-owned boot Run/Attempt、成功终态与八个顺序 Event，且不保存原始 command/credential 文本。
• @once 真实执行验证继续产生 manual fact；gRPC runCrons 验证只委托 CronService.run，没有传入或推导 grpc origin。
• Legacy Shadow 聚焦测试 42/42、build:back、完整 backend 1,419 pass + 2 条条件 skip/0 fail、18-package clean build/test、14/14 静态审计与 14/14 artifact 档位全部通过；artifact 字节与 D-354 一致。
• 本阶段没有修改数据库 schema/adapter、容器或 Kubernetes 拓扑，因此不重跑物理 PostgreSQL HA/K3s 门；完整证据与各档位字节记录在 QL-RFC-0001 D-355。