qinglong/docs/adr/ADR-0278-profile-separated-linux-workflow-cancellation-resource-gate.md

# ADR-0278：Profile 分层的 Linux Workflow 取消资源发布门

- 状态：Accepted
- 日期：2026-08-07
- 关联：D-05、D-07、D-87、D-213、D-251、D-257、ADR-0088、ADR-0228、ADR-0270、ADR-0277

## 上下文

ADR-0277 已让本机用户能够通过受认证的 `workflow.cancel` 产品命令提交取消意图，既有 Local
Application Linux 条件测试也能启动真实进程并观察 `/proc/<pid>`。但是测试仍用 SQL 直接注入
`cancel_requested_at_ms`，因此没有证明产品命令、Policy、durable audit、application control、进程停止与
Workflow parent terminalization 是同一条可工作的链路。

把这条链路加入 128 MiB 路由压力门时还暴露出另一个问题：该门同时运行可选 AI Prompt、AI Model
Invocation crash matrix 与核心调度/执行 workload，虽然没有 OOM，cgroup `memory.events.max` 已出现非零
命中。把可选 AI 的瞬时峰值解释成所有路由用户的核心最低配置，或通过忽略 `max` 事件来让门变绿，都会
破坏 D-07 的 Profile 隔离。

## 决策

1. Linux Application 条件测试必须通过真实 `ql3-workflow` schema v1 `workflow.cancel` command file
   请求取消，不再用 SQL 注入 cancel intent。测试凭据、pepper、User、API credential 与 Owner
   RoleBinding 只作为私有测试 fixture 创建；生产 package closure 不增加 Owner CLI/Console。
2. Workflow、Run、StepRun、Attempt、mutation、event 与 audit fixture 使用产品可接受的 UUID v4。命令
   首次返回 `accepted`，同一命令重放返回 `existing`；持久层必须只有一个
   `run.cancel_requested` 与一个 allowed `workflow.cancel` audit。
3. 测试必须先观察 `/proc/<pid>` 存在，再验证进程退出、Attempt cancelled、两个 StepRun cancelled、
   parent Workflow cancelled。该证据只证明受控 Linux 容器里的进程停止链，不宣称固定路由器断电、闪存
   持久性或不受控 side effect 已被证明。
4. 资源发布门按产品 Profile 分层：128 MiB `router-stress-ci` 是 `supportedMinimum=false` 的核心压力档，
   只运行 Edge executor、Node SQLite、Workflow success、SQLite lock、admission crash 与 control crash；
   256 MiB `edge-release-ci` 运行完整核心链、受认证 Workflow cancel，以及可选 AI Prompt/Model
   Invocation crash matrix。
5. Workflow success 与 cancellation 在同一个 Node test process 中执行，避免重复装载完整 Application
   graph。报告解析所有 `QL3_RESOURCE_EVIDENCE`，逐条检查 RSS，并对 success/cancel 两组 durable fact
   fail closed；缺一条、计数漂移、进程未退出或超过预算都拒绝发布。
6. `@qinglong/local-owner-cli` 与 `@qinglong/local-owner-console` 只能是
   `@qinglong/local-application` 的 `devDependencies`。cluster dependency audit 同时精确约束 manifest
   `workspace:*` 与 lockfile `link:`；local image 与十档 artifact 必须继续证明二者不进入生产制品。

## 被拒绝的方案

- **继续用 SQL 触发取消**：只能证明底层 convergence，不能证明认证、Policy、命令幂等与审计产品链。
- **给 128 MiB 档加内存或忽略 `memory.events.max`**：隐藏了可选 AI 与核心路由运行时的资源边界。
- **让 128 MiB 路由档承担全部 AI crash matrix**：把 optional feature 变成基础 Profile 的隐性依赖。
- **为成功与取消各启动一个 Application test process**：重复模块装载会放大监督进程峰值，不代表真实单
  Application cadence。
- **把容器 `/proc` 证据称为物理设备发布证据**：容器不能代替固定型号路由器的断电、闪存与热环境门。
- **为测试适配再拆 workspace package**：没有独立部署或生产依赖价值，并会违反既有 package 硬上限。

## 接受证据

- Linux arm64、non-root、read-only root/workspace、`no-new-privileges` 的真实 Application cancellation
  测试返回 `accepted`/exact `existing`，观察到 PID 存在后退出；parent/Attempt 均 cancelled，两个
  StepRun cancelled，cancel event/audit 各一条，cancel workload peak RSS 94,715,904 bytes。
- 128 MiB/0.5 CPU/64 PIDs 路由核心档 6 个 workload 全通过：`memory.peak=119,615,488`，
  `memory.events max/oom/oom_kill=0/0/0`；该档明确不是受支持最低配置声明。
- 256 MiB Edge 完整档 10 个 workload 全通过：`memory.peak=137,867,264`，memory event 全零；Workflow
  success/cancel peak RSS 为 88,555,520/94,715,904，AI Prompt edge/standalone 为
  120,373,248/117,379,072 bytes。
- Local Application 39 pass/3 Linux 条件 skip；完整 19-package 门退出 0；后端 1,101 tests、1,099
  pass/2 skip/0 fail。Edge import、cluster dependency、package boundary、cluster deployment、worker
  deployment 与 local image 六项审计全部 compatible。
- 十档 artifact 全 compatible：Edge/Standalone 3,547,572/3,547,620 bytes，Adopted
  4,146,274/4,146,358，Application 4,633,747/4,633,891，AI 4,882,494/4,882,554，Application AI
  5,968,741/5,968,897；最大档距 6 MiB 仍有 322,559 bytes。Application production closure 不含
  Owner CLI/Console。
- PostgreSQL 18.4 arm64 physical-streaming HA `passed=true`：`remote_apply`、timeline 1→2、旧主
  fencing、`pg_rewind` 只读同步重入、两个 fresh control activation 与 remote Workflow cancellation
  promotion gate 全绿；`ql3-ha-*` container/network/volume 零残留。
- 刷新后 GitNexus 为 42,509 nodes/96,471 edges/1,672 clusters/261 flows；五个修改符号全部 LOW，最多
  1 direct/0 affected process。`detect-changes` all/compare `develop` 分别为 12 files/31 symbols 与
  14/34，均 low/0 affected process。

## 剩余边界

- 仍需在明确型号、内存、存储与文件系统的物理路由设备上执行断电、闪存持久性、热重启和长时间 soak；
- 仍需 x64 CI/发布 runner 的同构资源门证据；
- Cluster Workflow-specific 产品入口、远程 Worker stop acknowledgement 与物理基础设施 fencing 继续由
  各自的独立发布门负责，不能由本 ADR 的本机 `/proc` 证据替代；
- 联网 production dependency vulnerability audit 因依赖元数据外发权限未获批准，本轮不重跑。