恢复码取消与低资源补充验收

日期：2026-09-21。本记录接续 SQLite 跨引擎迁移补充验收，不能替代全项目生产放行。

需求确认与任务状态

[✓] 保留上一轮失败证据，九文件提交 586f2bc 已推送并核对远端哈希。
[✓] 区分恢复码密码计算、数据库事务和 HTTP 请求取消，不把初始化超时写成迁移数据损坏。
[✓] 接入请求取消、可取消互斥等待和事务回滚；四个相关 Go 包、全量本地后端及 Linux 专项回归通过，跳过项单独披露。
完整应用的内存目标单变量对照已完成，PostgreSQL → SQLite 中间候选通过。
[✓] 最终候选重新编译及云端 PostgreSQL → SQLite 复测通过，实际进程环境核对完成。
[✓] 本地运行时回归 81 项、云端完整部署回归 151 项通过，后者零跳过。
[✓] 127 份文件本地与远端摘要一致，616 个后端源码摘要一致；八个测试账号锁定，正式六服务和程序未变，测试单元全部停止。
[!] 原 64 MiB Go 内存目标的受限环境仍存在 30 秒恢复码生成超时，不能按同条件通过处理。
[!] 浏览器、外部邮件、凭据轮换、续期、长时容量和灾备等其他门禁仍未全部关闭。

超时定位证据

不降低 Argon2id 参数，不减少恢复码数量，不放宽探针 30 秒读取超时。密码算法仍为 m=65536,t=3,p=1，每轮生成十枚恢复码。

直接调用凭据服务的受限诊断使用新建 PostgreSQL 空库、专用账号、192 MiB 进程内存上限和 25% CPU 配额：

诊断实例后缀	Go 内存目标	密码计算至事务开始	整体生成	GC 次数
`20260921-082512`	64 MiB	23.753 秒	23.775 秒	138
`20260921-082540`	128 MiB	24.079 秒	24.093 秒	10

这两个独立服务诊断没有显示明显的总耗时改善；数据库事务只占十几至二十几毫秒。不能仅凭 GC 次数差异宣称找到了完整应用的全部性能原因。前两次诊断启动遇到隔离挂载与执行路径错误，未进入应用测试，保留记录且专用账号已锁定。

随后用同一个中间候选 062c15539ed0df446d4050bc15b55f717369b58fba0caa2e8c4f28ceabd5ed0c 进行完整应用对照：

实例后缀	Go 内存目标	密码计算	整体生成	结果
`20260921-083048`	64 MiB	30.208 秒	30.209 秒	客户端取消；尚未进入数据库事务，取消被服务识别
`20260921-083337`	128 MiB	23.601 秒	23.619 秒	初始化及后续完整迁移通过

两个应用实例均保持 CPU 25%、进程硬上限 192 MiB、交换禁用、GOMAXPROCS=1、十枚恢复码和 30 秒读取超时，仅显式调整 Go 内存目标。直接证据确认失败发生在密码计算阶段，而非 PostgreSQL → SQLite 迁移执行阶段。内存目标变化与本次完整应用耗时改善存在对照证据，但不能从这一组样本外推所有负载下的性能。

原失败记录继续有效。128 MiB 是另一个明确标注的资源配置，不是把旧配置改写为通过，更不是生产容量或性能承诺。正式服务资源配置没有变动。

修改边界与反例

GenerateRecoveryCodesContext 接收 HTTP 请求上下文；旧无上下文入口保留，供兼容调用使用。
每次 Argon2id 计算之间检查取消；单次计算本身不可中断，不改变哈希强度。
凭据写入锁允许取消等待；取消不能释放其他请求持有的锁，也不能留下不可再用的锁。
数据库事务使用请求上下文，插入和提交前检查取消；未提交事务统一回滚。
自助及管理员代生成入口均传递请求上下文；管理员入口遇到密码计算繁忙时返回 503、Retry-After: 1 和 AUTH_BUSY。
阶段日志只记录数量、耗时、阶段和成功／取消标志，不记录恢复码、哈希、口令或 Cookie。

反例覆盖：请求开始前取消、第一／第五／第十次计算后取消、等待凭据锁取消、等待数据库连接取消、第一／最后一次插入后取消、密码计算繁忙、互斥并发及非法解锁。成功路径继续检查十枚随机码及原 Argon2id 参数。

本修改保证已观察到取消且尚未提交的事务不会部分轮换恢复码。数据库提交已经成功后发生响应丢失，是另一种状态；不能承诺数据库提交与浏览器收到明文之间具有原子性。

工具与环境

隔离验收工具新增显式 Go 内存目标参数，默认仍是原 64 MiB；Go 目标与进程硬上限之间必须保留至少 64 MiB。
验收器读取进程环境时只保留 GOMEMLIMIT、GOMAXPROCS，不保存其他环境变量。
探针单独记录恢复码阶段和耗时，失败时不再把后续尚未创建的目标库误读为数据库损坏。
中间候选只重编译后端，复用未修改的前端与 Linux 插件资产，不能描述为全资产重建。
每轮使用新空隔离实例和新 SQL 库，不清空正式数据库，不停止正式 Smail 或其他项目，不删除离线证据。

中间候选 PostgreSQL → SQLite 实例 20260921-083337：内部 PID 794879 不变，系统重启为 795359，故障恢复为 795477。三阶段源 PostgreSQL 连接数均为零，目标 SQLite 打开；运行目录只保留 migrated.db，没有第二个状态库。旧邮件、新邮件、正文和附件、配置历史原始字节、目标不可用时拒绝启动、恢复后读写均通过。

本地证据位于 test-log/production-remediation-20260921/，包括 recovery-timing-*、mixed-runtime-evidence/smail-review-runtime-20260921-083048/ 和 mixed-runtime-evidence/smail-review-runtime-20260921-083337/。首次扩大本地回归遇到新测试夹具角色类型编译错误，修正后四个相关包均通过；前后日志均保留。

最终候选与回归结果

最终后端候选 SHA-256 为 87eb782b34ac16473259e4b63caf98dd9dd073c887d0dcad008742bbc913bd35，对应本轮恢复码修改和互斥非法解锁保护。构建仍复用未修改的前端及 Linux 插件资产，不是全资产重新构建，也未替换正式实例。

范围	结果与边界
Windows 本地全量后端	`go test -json -p 1 ./... -count=1 -timeout=240s` 退出零；62 个包通过，22 个包级跳过；1057 个顶层测试及 831 个子测试通过，34 个顶层测试及 7 个子测试跳过，零失败
Linux 恢复码专项	`20260921-085040` 两个测试程序退出零，共 19 个测试及子测试通过、零跳过；凭据包十枚强哈希耗时约 24.4 秒
最终候选应用级迁移	`20260921-085155` PostgreSQL → SQLite 通过；恢复码 HTTP 耗时 23.772 秒，未放宽 30 秒超时
本地运行时工具回归	81 项通过，证据为 `recovery-runtime-python-tests.log`
Linux 全部部署工具回归	`20260921-201523` 实际执行 151 项、零跳过、退出零；峰值 45.9 MiB、交换为零，正式六服务状态未变

本地全量跳过项包含平台相关的符号链接与权限检查、未启用的真实 SQL 集成、浏览器夹具及 Windows 提权 IPC 等，不视为验收通过。Linux 恢复码专项只补足本修改的运行平台证据，不覆盖全部本地跳过项。

最终迁移实例实际进程环境为 GOMEMLIMIT=128MiB、GOMAXPROCS=1，进程硬上限仍为 192 MiB、CPU 配额仍为 25%，无 OOM。内部重启 PID 796642 不变，系统重启后为 797013，故障恢复后为 797134。三阶段源 PostgreSQL 活动连接均为零，目标 SQLite 打开，活动库只有 migrated.db；业务与配置历史同库。

待重启写入被拒绝、原会话保留、配置历史原始字节一致、历史及新增邮件中文正文和附件的 SMTP／IMAP／POP3 读写均通过。目标不可用时退出码为 1、PID 为零，没有回退源库；恢复访问后读写通过。测试账号锁定，桥接和网络隔离单元停止，无资源采集或清理错误。

本轮最后一个迁移方向已获得成功证据，但跨引擎六个方向来自不同阶段候选，不能表述为最终候选在同一轮跑完全部方向。迁移提交及配置切换临界点、SQL 复制中断、历史凭据轮换、静态安全剩余项、真实浏览器、外部投递、自动续期、容量及异机灾备等继续保持未完成。

独立复核与收尾

20 时补充回归后，recheck_recovery.py 对八次跨引擎应用级尝试、两个 Linux 专项程序及部署工具回归执行独立复核，合计检查 127 份文件，包括成功与失败日志、当前工具、最终候选及测试二进制；本地与远端摘要全部一致。616 个后端源码文件与最终构建清单一致。旧工具仅按原始证据摘要复核，不要求旧轮次工具与当前工具一致。

三次恢复码超时失败完整保留。八个 SQL 专用账号均锁定，PostgreSQL 账号不能登录、建库或提权；测试单元全部停止。正式六服务的 PID、InvocationID、重启次数及活动状态与测试前一致，正式主程序 SHA-256 仍为 c14ef1c5ba1dc2096c312c8357039a7330c985cbeac90765aed01d8151e05e1f。用户原 云端全项目测试报告.md 未编辑或暂存。

当前跟踪文件的凭据特征扫描通过，只代表该扫描器覆盖的当前文件检查，不代表历史凭据撤销或完整安全审计通过。整体验收继续未通过，不能部署为已验收生产版本。

9.4 KiB Raw Permalink Blame History Unescape Escape