数据库迁移重启补充验收

结论与范围

北京时间 2026 年 9 月 21 日，使用隔离云端实例补充 SQLite 迁移、重启及目标库故障恢复验收，并修复真实发现的 HTTP／HTTPS 重启确认响应丢失问题。本轮未替换 /opt/smail 的正式程序，未清空正式数据库，未停止其他项目或共享数据库服务。

[✓] SQLite 迁移失败不覆盖目标，失败后解除写维护状态。
[✓] SQLite 迁移后内部重启、系统级进程重启及目标不可读后的恢复。
[✓] HTTP／HTTPS 活动响应排空修复与本地、Linux 云端专项复核。
[✓] 最新候选 SQLite／MySQL／PostgreSQL 空数据基础回归，配置历史与业务同库。
[✓] MySQL／PostgreSQL 同引擎切库后的真实进程重启和故障恢复，见后续补充记录。
[✓] MySQL ↔ PostgreSQL 跨引擎应用级迁移、两类重启及账号故障恢复，见 SQL跨引擎迁移补充验收.md。
涉及 SQLite 的四个跨引擎应用级迁移与重启方向。
迁移复制、提交途中进程中断后的恢复。
[!] 浏览器、外部收件、自动续期、安全告警、凭据轮换及其他生产门禁仍未关闭。

上述通过项不代表整个项目审计结束，也不是正式实例升级或生产放行。

重启响应缺陷与修复

重启接口交付信号后，主循环立即停止服务。原 HTTP／HTTPS 停服直接调用 http.Server.Close()，可能在响应及会话中间件完成前关闭连接。云端收到 RemoteDisconnected，同时服务日志确认重启请求已经被处理；不能把这种失败按偶发网络问题忽略。

新增统一停服方法：先调用 Shutdown 等待在途响应，期限为 10 秒；超时才强制关闭并保留错误。两种 Web 监听都使用此方法，没有使用任意等待或放宽客户端验收标准。

检查	证据与结果
修复前确定性反例	`run-2026-09-20T21-08-10-337Z-39880`；HTTP、HTTPS 均提前关闭，客户端 EOF
修复后五轮竞态回归	`run-2026-09-20T21-12-58-775Z-4492`；通过
五包回归	`run-2026-09-20T21-13-36-986Z-3400`；HTTP、控制器、重启、数据库迁移、初始化包通过；不宣称可选集成全部零跳过
Linux 云端专项	`smail-review-ssl-apex-20260921/20260921-051655-http-restart`；六个顶层测试通过、零跳过、退出零
验收器单元测试	`test_runtime*.py` 共 42 项通过

run-2026-09-20T21-09-33-980Z-37428 保留首次超时测试夹具失败：请求体未消费且缺少独立释放路径，测试服务器清理等待活动请求。确认 PID 后仅停止本轮测试进程；修正夹具后另跑通过，不将夹具错误描述为应用漏洞。

日志名中的 2026-09-20T21...Z 为 UTC，对应北京时间 9 月 21 日。

SQLite 实机证据

最终实例：/var/tmp/smail-review-runtime-20260921-051723/。

本地归档：test-log/production-remediation-20260921/migration-runtime-evidence/smail-review-runtime-20260921-051723/。

从空库初始化、写入配置历史，真实 SMTP 收信后由 IMAP／POP3 读取中文正文和附件。
迁移预览后故意占用目标，执行返回 HTTP 409、DATABASE_MIGRATION_TARGET_EXISTS；记录为 failed / TARGET_EXISTS，目标内容未被覆盖。随后配置写入成功，证明维护锁已释放。
成功迁移至 migrated.db，配置代次推进至 4；等待重启期间业务写入返回 HTTP 503、DATABASE_RESTART_REQUIRED。
API 内部重启返回 accepted，旧 Cookie 会话仍有效；PID 和 InvocationID 不变，这不是进程替换。
systemctl restart 后 PID 和 InvocationID 改变，文件描述符证实仅打开目标业务库，不打开源业务库。
将本轮目标文件权限改为 000 后再次启动，进程退出码为 1、MainPID 为 0、状态为 failed；配置仍指向目标库，没有静默回退旧库。
在收尾保障路径恢复目标权限为 0600，重新启动成功。内部重启、系统重启、故障恢复三阶段均验证登录、三种协议认证、旧邮件及新邮件正文和附件。
新邮件仅写入目标库。源库完整逻辑摘要未变，源配置历史一条、目标一条，kind/id/payload/digest 完整一致。

进程证据：内部重启前后 773001，系统重启后 773123，故障恢复后 773224。

只有 migrated.db 是活动业务数据库；smail.db 和故意占用的 occupied.db 保留为离线证据，不是额外运行数据库，未经许可不删除。

保留两轮云端失败：045727 为验收器未先处理基础回归留下的待重启配置，被正确拒绝；050341 为真实重启响应中断，促成本次应用修复。失败记录均未删除或改成通过。

数据库	隔离实例时间后缀	结果
MySQL	`20260921-052137`	退出零、基础回归通过、配置历史一条、SQLite 文件零个
PostgreSQL	`20260921-052322`	退出零、基础回归通过、配置历史一条、SQLite 文件零个

构建与可追溯性

版本 review-restart-20260921，构建源码标识 f589f10f0556daeb9437673322d904d17e0a2df2-dirty。restart-source-manifest.json 记录 610 个后端 Go 文件的摘要，restart-build-manifest.json 记录候选产物。

产物	SHA-256
`smail-restart`	`21ec0820f9b09eb1f8262d6d444bbc5d235d4cf64115d6f4b3378be2083533a0`
`smail-admin-restart`	`73330cd069570b7bf0181db5497465faad3897eb9b564d3045774bb35bc1472f`
`http-restart.test`	`d09687338b3f5ded2ff034587292974c975c16e2a09b0595435622125da517ee`

本阶段重新编译后端，复用前轮未改动的前端资源和三个 Linux 插件，不声称又完成一次前端重建。拟用的 PowerShell 构建脚本被执行策略拒绝，没有更改策略或执行该脚本，随后使用原生 Go 构建命令；保留的脚本不是实际完整构建成功证据。

静态扫描仅复扫变更的 HTTP 包：九个文件、2,035 行、零告警、零加载错误、退出零，未增加抑制。之前全项目仍有 38 条告警，详见 静态安全告警复核记录.md，不能据此把全项目扫描标为通过。

后续 SQL 迁移补充

北京时间 9 月 21 日 05:37 至 05:45 左右，另建 MySQL、PostgreSQL 隔离源库和目标账号，使用重新编译的候选程序完成同引擎切库、内部重启、系统级进程重启、目标账号不可用时拒绝启动及恢复后的真实邮件读写。三阶段均证明源库活动连接为零、目标库有应用连接，业务与配置历史同库，运行目录没有 SQLite 文件。

完整范围、候选摘要、进程标识、资源与清理结果见 SQL切库与部署回归补充验收.md。前文 052137、052322 两轮仍仅代表当时的 SQL 基础回归，不把后来新增的证据倒填为旧测试已经覆盖。复制／提交途中进程中断与跨引擎应用级矩阵仍待验收。

后续 SQLite 复制中断补充

9 月 21 日 06:17 的新空隔离实例完成未提交复制事务中的 SIGKILL 中断及恢复，随后正常迁移和重启恢复也通过。详见 SQLite复制中断恢复补充验收.md，包含两个夹具失败记录、原始目标及 journal 快照摘要、20 份证据复核与 131 项部署回归。本项仅关闭 SQLite 未提交复制阶段，不关闭提交临界点、配置切换临界点、SQL 数据库中断或跨引擎矩阵。

后续混合引擎矩阵补充

详见 SQLite跨引擎迁移补充验收.md。SQLite → MySQL、SQLite → PostgreSQL、MySQL → SQLite 三个方向通过正式迁移、两类重启、目标不可用及恢复后的读写，三阶段证明只有目标库活动，配置历史同库。

PostgreSQL → SQLite 两次均在空安装恢复码生成请求的 30 秒读取超时处终止，尚未进入迁移；失败原样保留，不能宣称矩阵完整。47 份成功／失败证据及全部测试账号、测试单元和正式服务保护状态已独立复核。最终部署回归 149 项、零跳过，但不关闭初始化超时、迁移中断临界点或其他生产门禁。

8.6 KiB Raw Blame History Unescape Escape