qinglong/docs/adr/ADR-0523-post-apply-adopted-target-baseline.md

# ADR-0523：Apply 后的 Adopted Target 启动前基线

- 状态：Accepted（D-426b2a 源码候选；阶段实物尚未闭合）
- 日期：2026-08-30
- 决策：D-426b2a

## 上下文

D-426b1 已生成 Application v4 与内容绑定的离线 `docker-target.json`，但既有 clean rollback 判定只把 SQLite activation 中的初始 target SHA-256 当成目标基线。受认证 `local-data-directory.adoption.apply` 必然在 target 启动前向同一 SQLite 写入 Project、加密 Secret、disabled model、audit 与 receipt；因此合法 apply 后的 target 与 activation 内容摘要必然不同。若继续使用旧判定，未产生任何 post-cutover 写入的 target 也会错误进入 `reconciliation_required`；若直接把 activation 基线全局替换，又会削弱 fresh、v3、service-manager 和历史回退语义。

同时，target controller 原先只接受 Application v3，不能消费 D-426b1 生成的 v4 配置。这个矛盾意味着仅靠绿色源码无法形成新的阶段升级产物。

## 决策

只有 `docker-target` adopted bundle 在受认证 apply 已提交、target 尚未启动时发布私有 `service/adopted-target-baseline.json`。基线固定绑定：

- Profile、instance、cutover、准备时间；
- activation 与 legacy-stopped commitment digest；
- Application v4 semantic digest；
- legacy data application commit/receipt digest；
- target canonical path digest、device、inode、SHA-256；
- `targetSidecarsClear=true`；
- 上述 payload 的自摘要 `baselineDigest`。

publication 使用现有 no-replace 私有文件协议。存在 SQLite WAL/SHM/journal、目标身份变化、配置/commit/receipt 漂移、基线缺失或自摘要不一致都 fail closed。

target controller 同时接受原有 Application v3 与 adopted Application v4：

- v3/fresh 继续以 activation target SHA-256 判定，记录形状和旧语义不变；
- v4 必须读取并闭合 post-apply baseline；不得在缺失时退回 activation；
- v4 停止证据新增 `baselineKind=adopted_target`、`baselineDigest` 与 `targetMatchesBaseline`，同时保留真实的 `targetMatchesActivation`；
- baseline 未变且 legacy source/sidecar 未变才是 `rollback_candidate`；target 启动后发生写入则为 `reconciliation_required`；基线无法证明则为 `manual_review`。

旧 reconciliation journal 继续按原 exact shape 验证。新 shape 只对 adopted baseline 开放，并要求 disposition 与 `targetMatchesBaseline`、sidecar、source facts 一致。没有新增 workspace package、生产依赖、daemon、listener、timer、watcher 或稳态资源。

## 阶段实物门

本 ADR 只闭合此前不合理的 rollback 语义，仍不是新的可下载 Trial Kit。D-426a 双架构 headless bundle 仍是当前可交付的升级阶段实物。只有同源原生 amd64/arm64 artifact job 在将要上传的 exact bundle 上完成：

1. reviewed stage/verify；
2. versioned transform/verify；
3. Owner credential + `secret.manage` 认证的 apply/verify；
4. exact offline image target 创建；
5. 真实 legacy stop、target start/stop；
6. v4 baseline 绑定且最终为 clean `rollback_candidate`；
7. bundle 与 milestone 离线审计；

才能把 D-426b2 升级为阶段实物。任何一步只在仓库测试 fixture 中通过都不能替代 exact 上传包演练。

## 后续

D-426b2b 实现并审计上述 exact bundle 用户旅程，随后显式生成新的双架构 artifact。D-426c 继续处理 target 产生业务写入后的 capture、review、reconciliation 与恢复。