edit | blame | history | raw

2026-07-09 REVIEW-M4C-EDC-05

用户目标

对 M4C-EDC-05 做正式代码复核，Review Gate ID 固定为 crg-7b229c2a68c8。本轮只审 m4c plugin source / installed cache / packaged candidate，不审 Mindraw App DMG / 签名 / 公证，不替代 CM1 fresh-machine 复测、QA、PMO Gate、用户验收或公开分发判断。

已完成事项

  • 读取并遵守项目入口、索引、MEXP15 台账、Review Request、Coder 自查、P2 入口 / CODEGRAPH，以及 code governance / user collaboration / agent skill security / session memory 规则。
  • 只读复核 M4C-EDC-05 声明范围内的 source、installed cache 和 packaged candidate。
  • 回写 02-P/plan-progress.markdown：REVIEW-M4C-EDC-05 / Review Gate crg-7b229c2a68c8=PASS。
  • 更新 .codex-sessionhistory/COMMANDS.md，记录本轮可复用验证命令入口。

关键决策

  • 代码复核结论：PASS。
  • SkillSpector plugin-root TM1 at scripts/mindraw-canvas-service.mjs:6 人工接受：相关 fs/promises imports 用于本地 smoke / report harness、临时目录、mock runtime / mock open command 与报告文件操作；正常 service API 未暴露任意文件写删入口。
  • 剩余边界：P2 C1.source/mindraw-plugin/ 仍是既有 untracked source snapshot，C2.builds/* 仍按边界被 .gitignore 忽略；本 PASS 不等于 source freeze、CM1 fresh-machine 复测、PMO Gate、用户验收或公开分发通过。

核心事实 / 变更快照

  • 变更对象：MEXP15 / P-20260707-signed-notarized-dmg 的 REVIEW-M4C-EDC-05 代码复核状态。
  • 变更前：REVIEW-M4C-EDC-05 为 active / waiting code review，M4C-EDC-05 候选仍不能交给 Owner 复验。
  • 变更后：Review Gate crg-7b229c2a68c8=PASS，可交回 PMO 准备新版 CM1 recheck kit / runbook。
  • Candidate plugin：0.1.3+codex.20260708220005。
  • Candidate tarball SHA256：deefeaab12a4949052c6b154ca23d9e7b14a2f85bed9809a84efd3dfaab672c2。
  • Source / packaged relative tree list file SHA256：6e4371e50568d2f9030077f5de7a24d9ce54489abe6111ffea2dbe4805b268be。
  • 核心行为：service URL 带 ?project=<hash>，/api/state / /api/preview / /api/open-edit 校验 request project hash；open-edit 校验 latest canvas canonical path 在当前 project root 的 MindrawCanvas/ 下；固定端口被异项目 / 未知 service 占用时跳到下一可用端口；preview source-required 仍 409 fail-closed。

文件变更

  • 02-P/plan-progress.markdown：MEXP15 状态更新为 Blocked / REVIEW-M4C-EDC-05 PASS / waiting CM1 recheck，任务卡和 Progress Log 回写 crg-7b229c2a68c8=PASS。
  • .codex-sessionhistory/COMMANDS.md：新增 REVIEW-M4C-EDC-05 project-scoped preview service review 索引。
  • .codex-sessionhistory/2026-07-09-REVIEW-M4C-EDC-05.md：保存本轮审核记录。

可复用命令 / Runbook

用途：复查 M4C-EDC-05 source / installed cache / packaged candidate 一致性、SHA、validator、syntax check 与 smoke evidence。

前置条件：在 /Users/ar/Projects/Mindraw 下执行；candidate root 为 /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/；validator 需要本机已有 /tmp/mindraw-m4c-validator-pyyaml。

diff -qr /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C1.source/mindraw-plugin /Users/ar/.codex/plugins/cache/personal/mindraw/0.1.3+codex.20260708220005
diff -qr /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C1.source/mindraw-plugin /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/install-source/plugins/mindraw
cd /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159 && shasum -a 256 -c SHA256SUMS.txt
npm run --prefix /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C1.source/mindraw-plugin check
npm run --prefix /Users/ar/.codex/plugins/cache/personal/mindraw/0.1.3+codex.20260708220005 check
npm run --prefix /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/install-source/plugins/mindraw check
PYTHONPATH=/tmp/mindraw-m4c-validator-pyyaml python3 /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/validate_plugin.py /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C1.source/mindraw-plugin
PYTHONPATH=/tmp/mindraw-m4c-validator-pyyaml python3 /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/validate_plugin.py /Users/ar/.codex/plugins/cache/personal/mindraw/0.1.3+codex.20260708220005
PYTHONPATH=/tmp/mindraw-m4c-validator-pyyaml python3 /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/validate_plugin.py /Users/ar/Projects/Mindraw/P2.mindrawforcodex/03-O/C2.builds/MEXP15-SignedNotarizedDMG/mindraw-plugin-0.1.3+codex.20260708220005-M4C-EDC-05-20260708221159/install-source/plugins/mindraw

验证结果：上述 diff 无输出；candidate SHA256SUMS.txt 全部 OK；三处 npm run check 退出 0；三处 validator 在设置 PYTHONPATH=/tmp/mindraw-m4c-validator-pyyaml 后均通过。证据 JSON / Markdown 另显示 source / installed / packaged smoke、HTTP smoke、lifecycle、MCP、sidebar 报告均 ok=true，HTTP smoke 覆盖 mismatched sidebar context 409 和 preview source-required 409，lifecycle smoke 覆盖 stale fixed-port cross-project service 隔离，敏感扫描无匹配。

搜索关键词：REVIEW-M4C-EDC-05、crg-7b229c2a68c8、MINDRAW_PROJECT_CONTEXT_MISMATCH、MINDRAW_PROJECT_CANVAS_SCOPE_MISMATCH、0.1.3+codex.20260708220005。

未决问题

  • PMO 需要消费 PM_NOTIFY_READY REVIEW-M4C-EDC-05 REVIEW_GATE=crg-7b229c2a68c8 RESULT=PASS。
  • PMO / QA / Owner 需要准备并执行包含 plugin 0.1.3+codex.20260708220005 的新版 CM1 fresh-machine 或 clean user 复测。
  • clean source freeze / 长期 artifact archival 仍归 PMO / m4c 后续处理。

后续建议

  • 不复用 cm1-m4c-edc-04-recheck-kit-20260708 作为串台修复复验包，因为其中 plugin 仍是 0.1.2+codex.20260708194340。
  • 新 CM1 runbook 应显式要求记录 sidebar URL / project hash、service port、/api/identity 输出或等效证据，确认没有复用旧项目 service。