HHostingByteSoftware
Ctrl K
ComunidadGuías…

docs/RELEASE_NOTES_v0.9.2.md

Rama main · réplica de lectura del repositorio original.

Archivo original ↗Preguntar a KiBot
# v0.9.2：安全安装与原记录补续

[English](RELEASE_NOTES_v0.9.2.en.md)

版本日期：2026-10-13。相对公开 Core 0.9.1 的补丁更新。

模型已经返回结果，但结算仍在 pending；审批已经批准，但一次临时故障让原任务停在队列外。百灵中枢（BailingHub）0.9.2 让这些持久记录在没有新请求的情况下继续核对和补续，并修复安装时安全随机源失败仍可能生成凭据的问题。

## 修复了什么

### 安全随机失败时停止安装

新建配置时，默认六项凭据分别通过安全随机源生成。缺少 OpenSSL、随机命令失败或输出不合法时，安装器停止，不写半份 `.env`，不启动服务。已有 `.env` 保留，包括运营者修改的管理员密码。部署方需提供可用的 OpenSSL；不使用时间戳或摘要充当随机源。

### 没有流量也推进异步结算

过去依赖请求触发的核对，现在由 standalone 启动及每分钟维护自动推进；managed Kernel 由首个及后续既有 `tick()` 推进。每页最多 50 条，按游标前进并回绕，无法计价或单条损坏的记录不再反复占据首批、阻塞后面的记录。

核对使用原请求已保存的计量、参考价格与统一倍率，不读取生成正文，不调用供应商或重派模型。缺少可靠计量继续保留 pending/unknown，不猜成零费用。同一 owner 的工作合并，数据库故障退避；关闭先停止新维护，再等待已开始的写账，超时保留同实例工作供重试。

### 原审批决策可持久补续

外部回调和控制台在同一事务保存决策及补续记录。审计或入队临时失败后，可使用原 `decision_id` 重试；后台维护也会推进未完成补续。决策已保存但补续失败返回 `503` 和 `decision_recorded=true / continuation_pending=true`，不要为恢复另造审批单。

原任务入队与决策标记原子保存，并在入队临界区重验审批是否已消费。入队成功但确认丢失、进程重开或后续任务已经完成时，同一决策仍不会再次入队。审批已消费的记录不重排；没有新补续记录的历史决策不自动回填。拒绝仅补审计；Agent 直调仍由原 Agent 使用原 `invocation_id` 显式续执行，批准不会启动中枢模型循环。

## 新增诊断与公开回归

`npm run doctor -- --deployment --url <Core URL>` 增加只读部署模式，默认核对 `/health`、`/version` 与本地制品身份。显式 `--readiness` 才让服务端检查数据库和迁移账本；诊断不执行升级、回滚或迁移。声明一致不能代替制品摘要、实际数据库身份或目标部署验收，详见[诊断范围与退出码](DEPLOYMENT_DIAGNOSTICS.md)。

本版还首次发行实际子进程 `SIGKILL` 和 MySQL COMMIT 确认丢失的模型恢复专项。它验证已有原请求恢复和结算语义，属于测试覆盖新增，不是新的自动重派功能。审批专项也覆盖不同 PID 恢复、确认丢失和并发补续。见[模型进程恢复回归](MODEL_PROCESS_RECOVERY.md)与[Core 可靠性回归](CORE_RELIABILITY.md)。

## 谁需要升级

- **Core 管理员**：使用安装器、模型计费或外部/控制台审批的部署，建议升级并应用 065/066；升级前保留配置、数据库、原请求与回滚制品。
- **嵌入式及自定义仓储开发者**：保留公平 `tick()` 与 `close(drainMs)`，配套 continuation ledger 方法和 `RuntimeStateStore.requeueApprovedJobOnce`。缺少配套实现时新审批决策明确 unavailable，不退回旧的不可靠入队方式。
- **业务后端及客户端接入方**：业务声明、验签和最终权限沿用既有契约；审批重试保留原决策标识，结果恢复保留原调用标识。MCP / Agent Client SDK 0.7.0、DSH 0.7.0 不变。ACC、独立 Host 与客户端各自发布，不包含在本次 Core 补丁中。

## 升级与确认

相对 0.9.1 新增 `065_usage_reconciliation_scan.sql` 与 `066_approval_continuations.sql`。通过 `npm run db:init` 或官方显式 Kernel 迁移入口应用全部未执行文件；运行时不自动迁移。先协调旧写入并核对迁移与仓储配套，再启动新版本。[升级指南](UPGRADE_v0.9.2.md)包含保留数据、原 ID 核对、诊断与回退步骤。

确认新制品身份、迁移账本与健康状态后，在专用测试环境核对无流量结算、审批故障补续和关闭等待。公开回归使用隔离数据库与合成供应商；它们不代表真实供应商或生产业务已验收。队列准入去重也不等于外部业务效果恰好一次。

[升级指南](UPGRADE_v0.9.2.md) · [完整版本记录](CHANGELOG.md) · [能力与证据索引](IMPLEMENTATION_STATUS.md) · [上一版本](RELEASE_NOTES_v0.9.1.md)