k2safe/orbit
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs: record Go 1.27.1 recovery rehearsals

Browse Source
This commit is contained in:
k2safe
2026-09-20 16:16:52 +08:00
parent bf6f904346
commit 9c46022a32
5 changed files with 21 additions and 13 deletions
Download Patch File Download Diff File Expand all files Collapse all files

4
docs/08-development-plan.md
View File

@@ -63,8 +63,8 @@ P4/P5定时等待与后续查询轮次的实现及回归记录见[时钟报告](
3. 已补齐受保护管理环境中的固定凭据操作文件、轮换、撤销、提交不明故障切点、幂等回执和脱敏管理审计；轮换保留授权绑定并要求新令牌重新建立会话，旧 Worker 会话被排空且立即过期，撤销允许在停用范围内执行且不改写历史记录。已用一次性 MySQL 定向验证旧令牌失效、新令牌重绑和零外键；仍需多节点安全重绑演练、凭据最小权限配置核对和生产密钥托管/审计演练。 3. 已补齐受保护管理环境中的固定凭据操作文件、轮换、撤销、提交不明故障切点、幂等回执和脱敏管理审计；轮换保留授权绑定并要求新令牌重新建立会话，旧 Worker 会话被排空且立即过期，撤销允许在停用范围内执行且不改写历史记录。已用一次性 MySQL 定向验证旧令牌失效、新令牌重绑和零外键；仍需多节点安全重绑演练、凭据最小权限配置核对和生产密钥托管/审计演练。
4. 已补[`orbit-admin retention inventory`](api/retention.md)只读盘点和[阶段报告](reports/phase-6-retention-inventory.md)，能区分过期幂等、确定终态、未知效果、未终结流程、已确认/未确认交付、已消费/未消费Inbox、事件和审计规模；它不执行归档或删除。已补[容量模型](19-capacity-model.md)，把企业数转换为任务、流程、事件、连接、写放大和保留期输入；仍需评审各类保留周期、归档格式、受保护记录核对，再执行备份恢复、兼容升级和六类容量负载。未确认交付、有效幂等身份、当前/历史执行证据和未终结流程不能被普通清理破坏。生产HA及RPO/RTO继续按实际拓扑验证，不缩减为本机多进程检查。 4. 已补[`orbit-admin retention inventory`](api/retention.md)只读盘点和[阶段报告](reports/phase-6-retention-inventory.md)，能区分过期幂等、确定终态、未知效果、未终结流程、已确认/未确认交付、已消费/未消费Inbox、事件和审计规模；它不执行归档或删除。已补[容量模型](19-capacity-model.md)，把企业数转换为任务、流程、事件、连接、写放大和保留期输入；仍需评审各类保留周期、归档格式、受保护记录核对，再执行备份恢复、兼容升级和六类容量负载。未确认交付、有效幂等身份、当前/历史执行证据和未终结流程不能被普通清理破坏。生产HA及RPO/RTO继续按实际拓扑验证，不缩减为本机多进程检查。
5. 已补[`orbit-load`](api/load.md)有界受理负载工具及24次/1000次隔离样本，见[受理报告](reports/phase-6-load.md)。新增独立[`orbit-exec-load`](api/execution-load.md)，通过真实Worker、任务结果和尝试历史核对，提供短/混合/中长任务的受理、排队、授权执行及完成耗时分布；具体环境、原始JSON和失败分母见[执行测量报告](reports/phase-6-execution-load.md)。新增[`orbit-workflow-load`](api/workflow-load.md)，用本次发布版本的双分支并行流程，逐个核对不同任务、唯一尝试、来源、精确输出与本地调用；24/100实例及24实例截止负例已重新构建回归并绑定源码/二进制哈希，见[流程测量报告](reports/phase-6-workflow-load.md)。新增[`orbit-schedule-load`](api/schedule-load.md)，已完成24/128次定时集中触发与24次计划量的截止负例，保存实际分母、唯一任务/尝试、来源与暂停收尾证据，见[定时测量报告](reports/phase-6-schedule-load.md)。Go 1.27.1 模块级门禁、MySQL 存储集成、关键 SDK/Orbit 进程故障组、24个可运行 SDK 示例真实服务串跑和 result-inbox/task-outbox 真实业务集成已复跑通过。已补[长期积压与资源曲线样本](reports/phase-6-backlog.md)：32×8 共256个触发点，在1个Worker/容量1和180秒截止下保留173个成功、83个未核验任务，并以独立数据库读取记录等待积压曲线；该单节点样本不替代目标拓扑容量。SDK受控重连风暴及[真实慢消费者背压](reports/phase-6-slow-consumer.md)已补边界回归；下一步补指标采集对照、长期存储增长、跨节点重连与目标数据库拓扑容量。 5. 已补[`orbit-load`](api/load.md)有界受理负载工具及24次/1000次隔离样本，见[受理报告](reports/phase-6-load.md)。新增独立[`orbit-exec-load`](api/execution-load.md)，通过真实Worker、任务结果和尝试历史核对，提供短/混合/中长任务的受理、排队、授权执行及完成耗时分布；具体环境、原始JSON和失败分母见[执行测量报告](reports/phase-6-execution-load.md)。新增[`orbit-workflow-load`](api/workflow-load.md)，用本次发布版本的双分支并行流程，逐个核对不同任务、唯一尝试、来源、精确输出与本地调用；24/100实例及24实例截止负例已重新构建回归并绑定源码/二进制哈希，见[流程测量报告](reports/phase-6-workflow-load.md)。新增[`orbit-schedule-load`](api/schedule-load.md)，已完成24/128次定时集中触发与24次计划量的截止负例，保存实际分母、唯一任务/尝试、来源与暂停收尾证据，见[定时测量报告](reports/phase-6-schedule-load.md)。Go 1.27.1 模块级门禁、MySQL 存储集成、关键 SDK/Orbit 进程故障组、24个可运行 SDK 示例真实服务串跑和 result-inbox/task-outbox 真实业务集成已复跑通过。已补[长期积压与资源曲线样本](reports/phase-6-backlog.md)：32×8 共256个触发点，在1个Worker/容量1和180秒截止下保留173个成功、83个未核验任务，并以独立数据库读取记录等待积压曲线；该单节点样本不替代目标拓扑容量。SDK受控重连风暴及[真实慢消费者背压](reports/phase-6-slow-consumer.md)已补边界回归；下一步补指标采集对照、长期存储增长、跨节点重连与目标数据库拓扑容量。
6. 已补[隔离备份恢复演练](api/backup-restore.md)：源库和恢复库均为一次性 MySQL 容器，逻辑备份恢复后核对迁移账本、核心记录数量、固定索引和零外键；证据见[恢复报告](reports/phase-6-backup-restore.md)。该演练不替代生产备份介质、复制切换、跨版本恢复或 RPO/RTO 验收。 6. 已补[隔离备份恢复演练](api/backup-restore.md)：源库和恢复库均为一次性 MySQL 容器，Go 1.27.1 构建的当前二进制在逻辑备份恢复后核对迁移账本、核心记录数量、固定索引和零外键；证据见[恢复报告](reports/phase-6-backup-restore.md)。该演练不替代生产备份介质、复制切换、跨版本恢复或 RPO/RTO 验收。
7. 已补[A18 数据库短暂不可用恢复演练](api/db-recovery.md)：readiness 在数据库停止期间返回 503，同卷恢复后返回 200，并用原权限范围继续受理任务；证据见[数据库恢复报告](reports/phase-6-db-recovery.md)。该演练不替代主从切换、复制确认、跨故障域或 RPO/RTO 验收。 7. 已补[A18 数据库短暂不可用恢复演练](api/db-recovery.md)：Go 1.27.1 构建的当前二进制在数据库停止期间返回 readiness 503，同卷恢复后返回 200，并用原权限范围继续受理任务；证据见[数据库恢复报告](reports/phase-6-db-recovery.md)。该演练不替代主从切换、复制确认、跨故障域或 RPO/RTO 验收。
### P3 功能范围核对 ### P3 功能范围核对

4
docs/release-checklist.md
View File

@@ -29,8 +29,8 @@
| --- | --- | --- | | --- | --- | --- |
| 幂等、事务、租约、重试、未知结果和流程恢复 | P1–P5阶段报告及真实 MySQL 回归 | 功能阶段已通过 | | 幂等、事务、租约、重试、未知结果和流程恢复 | P1–P5阶段报告及真实 MySQL 回归 | 功能阶段已通过 |
| 派发未送达、提交前后断线、最终信号竞争 | [故障边界报告](reports/phase-6-fault-boundaries.md)、[当前回归状态](reports/phase-7-regression-status.md) | Go 1.27.1 已通过 MySQL 存储、关键 SDK/Orbit 进程故障组、24 个示例串跑和两个独立业务模块集成；跨版本矩阵和目标拓扑仍待发布环境 | | 派发未送达、提交前后断线、最终信号竞争 | [故障边界报告](reports/phase-6-fault-boundaries.md)、[当前回归状态](reports/phase-7-regression-status.md) | Go 1.27.1 已通过 MySQL 存储、关键 SDK/Orbit 进程故障组、24 个示例串跑和两个独立业务模块集成；跨版本矩阵和目标拓扑仍待发布环境 |
| 备份恢复 | `scripts/test-backup-restore.sh`、[恢复报告](reports/phase-6-backup-restore.md) | 隔离演练已通过；生产介质待验收 | | 备份恢复 | `scripts/test-backup-restore.sh`、[恢复报告](reports/phase-6-backup-restore.md) | Go 1.27.1 构建的当前二进制已通过隔离恢复；生产介质待验收 |
| MySQL 短暂不可用恢复 | `scripts/test-db-recovery.sh`、[恢复报告](reports/phase-6-db-recovery.md) | 单节点同卷演练已通过；主从/跨故障域待验收 | | MySQL 短暂不可用恢复 | `scripts/test-db-recovery.sh`、[恢复报告](reports/phase-6-db-recovery.md) | Go 1.27.1 构建的当前二进制已通过单节点同卷演练；主从/跨故障域待验收 |
| 运行观测和只读快照 | `/metrics`、`orbit-admin observe snapshot`、[观测手册](api/observability.md) | 固定基数和有界单节点快照已实现 | | 运行观测和只读快照 | `/metrics`、`orbit-admin observe snapshot`、[观测手册](api/observability.md) | 固定基数和有界单节点快照已实现 |
| 告警、值守、回滚/前向修复 | 目标监控、值班和发布工单 | 待目标环境 | | 告警、值守、回滚/前向修复 | 目标监控、值班和发布工单 | 待目标环境 |

15
docs/reports/phase-6-backup-restore.md
View File

@@ -1,14 +1,21 @@
# P6：隔离备份恢复演练 # P6：隔离备份恢复演练
验证日期：2026-09-19。新增 `scripts/test-backup-restore.sh`，在两个一次性 MySQL 容器之间执行逻辑备份和恢复，恢复后用只读结构核验和核心记录计数确认结果。演练不连接已有数据库，也不修改生产数据。 验证日期：2026-09-20。新增 `scripts/test-backup-restore.sh`，在两个一次性 MySQL 容器之间执行逻辑备份和恢复，恢复后用只读结构核验和核心记录计数确认结果。演练不连接已有数据库，也不修改生产数据。
## 实际命令与环境 ## 实际命令与环境
本轮使用 Docker `golang:1.27.1` 交叉构建 macOS arm64 的当前 Orbit 二进制，再在宿主机执行脚本：
```sh ```sh
DOCKER=/usr/local/bin/docker ORBIT_TEST_MYSQL_IMAGE=mysql:8.4 \ docker run --rm -e GOOS=darwin -e GOARCH=arm64 -e CGO_ENABLED=0 -e GOWORK=off \
sh scripts/test-backup-restore.sh -v "$PWD:/workspace" -v /tmp/orbit-go127-darwin:/out \
golang:1.27.1 sh -c 'cd /workspace && go build -o /out/orbit ./cmd/orbit && go build -o /out/orbit-migrate ./cmd/orbit-migrate && go build -o /out/orbit-admin ./cmd/orbit-admin'
ORBIT_BIN=/tmp/orbit-go127-darwin/orbit ORBIT_MIGRATE_BIN=/tmp/orbit-go127-darwin/orbit-migrate ORBIT_ADMIN_BIN=/tmp/orbit-go127-darwin/orbit-admin \
ORBIT_TEST_MYSQL_IMAGE=mysql:8.4 sh scripts/test-backup-restore.sh
``` ```
实际运行的构建使用 Go 1.27.1 的共享缓存目录，输出为当前提交对应的 Darwin arm64 二进制；脚本自身仍只创建一次性容器和临时文件。
源库和恢复库分别使用随机 root 密码、随机映射端口和独立数据库名。源库运行当前 `bin/orbit-migrate`，再通过 `bin/orbit-admin bootstrap` 写入一个通用应用、命名空间、凭据和队列；`mysqldump --single-transaction --routines --triggers --events --hex-blob --no-tablespaces` 导出后，通过容器内 MySQL 客户端导入恢复库。退出清理两个容器和临时凭据文件。 源库和恢复库分别使用随机 root 密码、随机映射端口和独立数据库名。源库运行当前 `bin/orbit-migrate`，再通过 `bin/orbit-admin bootstrap` 写入一个通用应用、命名空间、凭据和队列；`mysqldump --single-transaction --routines --triggers --events --hex-blob --no-tablespaces` 导出后，通过容器内 MySQL 客户端导入恢复库。退出清理两个容器和临时凭据文件。
## 实际结果 ## 实际结果
@@ -21,4 +28,4 @@ DOCKER=/usr/local/bin/docker ORBIT_TEST_MYSQL_IMAGE=mysql:8.4 \
## 验收边界 ## 验收边界
本次证明同版本 MySQL 的一次逻辑备份可以恢复为可被当前二进制读取的数据库，并保持无外键结构。它没有证明备份介质持久性、备份窗口内的大库锁/IO影响、跨版本升级恢复、复制切换、跨故障域部署、生产密钥托管、外部业务副作用核对或 RPO/RTO；这些仍需目标生产拓扑中的独立演练。恢复库也没有被接入 Worker 或业务流量，避免把恢复演练误当成恢复后的生产接管证明。 本次证明 Go 1.27.1 构建的当前二进制可以读取同版本 MySQL 的逻辑恢复库，并保持无外键结构。它没有证明备份介质持久性、备份窗口内的大库锁/IO影响、跨版本升级恢复、复制切换、跨故障域部署、生产密钥托管、外部业务副作用核对或 RPO/RTO；这些仍需目标生产拓扑中的独立演练。恢复库也没有被接入 Worker 或业务流量，避免把恢复演练误当成恢复后的生产接管证明。

9
docs/reports/phase-6-db-recovery.md
View File

@@ -4,12 +4,11 @@
## 实际环境与命令 ## 实际环境与命令
环境为 macOS arm64、当前 `bin/orbit`/`bin/orbit-migrate`/`bin/orbit-admin`、Docker MySQL 8.4。脚本创建随机本地卷和端口，迁移 28 个版本，初始化一个通用命名空间和队列： 环境为 macOS arm64、Docker Go 1.27.1 交叉构建的当前 Orbit 二进制、Docker MySQL 8.4。脚本创建随机本地卷和端口，迁移 28 个版本，初始化一个通用命名空间和队列：
``@@BT@sh ``@@BT@sh
DOCKER=/usr/local/bin/docker \ ORBIT_BIN=/tmp/orbit-go127-darwin/orbit ORBIT_MIGRATE_BIN=/tmp/orbit-go127-darwin/orbit-migrate ORBIT_ADMIN_BIN=/tmp/orbit-go127-darwin/orbit-admin \
ORBIT_TEST_MYSQL_IMAGE=mysql:8.4 \ ORBIT_TEST_MYSQL_IMAGE=mysql:8.4 sh scripts/test-db-recovery.sh
sh scripts/test-db-recovery.sh
``@@BT@ ``@@BT@
数据库容器停止并移除后，脚本在相同端口和卷上创建恢复容器；Orbit 进程保持运行。 数据库容器停止并移除后，脚本在相同端口和卷上创建恢复容器；Orbit 进程保持运行。
@@ -22,7 +21,7 @@ sh scripts/test-db-recovery.sh
恢复后的任务受理使用原命名空间凭据和固定 `Idempotency-Key`，说明新数据库连接能重新通过鉴权、结构检查、权限和受理事务。脚本没有启动 Worker，因此没有把任务受理误报为业务处理完成。 恢复后的任务受理使用原命名空间凭据和固定 `Idempotency-Key`，说明新数据库连接能重新通过鉴权、结构检查、权限和受理事务。脚本没有启动 Worker，因此没有把任务受理误报为业务处理完成。
脚本语法检查和文档链接检查通过；实际数据库结构继续由 `orbit-admin verify` 核对零外键。标准全量回归仍需在资源充足环境执行，不能用本次短暂中断演练替代。 Go 1.27.1 交叉构建、脚本语法检查和文档链接检查通过；实际数据库结构继续由 `orbit-admin verify` 核对零外键。标准全量回归仍需在资源充足环境执行，不能用本次短暂中断演练替代。
## 边界 ## 边界

2
docs/reports/phase-7-regression-status.md
View File

@@ -19,6 +19,8 @@
| Go 1.27.1 SDK 可运行示例真实服务串跑 | MySQL 8.4.10 一次性库、真实 Orbit HTTP、Worker/Weave 凭据；24 个 SDK 示例及 `orbit-exec-load`、`orbit-schedule-load`、`orbit-workflow-load` | PASS；24 个示例和 3 个负载工具均完成实际受理、执行、结果/事件/流程核对，所有负载样本 `complete=true`、`unverified=0` | | Go 1.27.1 SDK 可运行示例真实服务串跑 | MySQL 8.4.10 一次性库、真实 Orbit HTTP、Worker/Weave 凭据；24 个 SDK 示例及 `orbit-exec-load`、`orbit-schedule-load`、`orbit-workflow-load` | PASS；24 个示例和 3 个负载工具均完成实际受理、执行、结果/事件/流程核对，所有负载样本 `complete=true`、`unverified=0` |
| Go 1.27.1 result-inbox 真实业务集成 | 独立接收方 MySQL 8.4.10；真实 Orbit HTTP/WSS；`go test -race -run Integration ./...`，含 COMMIT 回执丢失、进程强杀后 Inbox 接管、并发去重及事务回滚 | PASS；测试包 34.183 秒，初始化与 demo 也完成；实际业务提交后才确认 ACK，最终业务效果只保留一次 | | Go 1.27.1 result-inbox 真实业务集成 | 独立接收方 MySQL 8.4.10；真实 Orbit HTTP/WSS；`go test -race -run Integration ./...`，含 COMMIT 回执丢失、进程强杀后 Inbox 接管、并发去重及事务回滚 | PASS；测试包 34.183 秒，初始化与 demo 也完成；实际业务提交后才确认 ACK，最终业务效果只保留一次 |
| Go 1.27.1 task-outbox 真实业务集成 | 独立发送方 MySQL 8.4.10；真实 Orbit HTTP；`go test -race -run Integration ./...`，含 CLI、三处 COMMIT 回执丢失、HTTP 回执丢失、发送进程强杀后租约接管、预算和错误分类 | PASS；测试包 32.964 秒，初始化与 demo 也完成；原操作键恢复为单一平台任务 | | Go 1.27.1 task-outbox 真实业务集成 | 独立发送方 MySQL 8.4.10；真实 Orbit HTTP；`go test -race -run Integration ./...`，含 CLI、三处 COMMIT 回执丢失、HTTP 回执丢失、发送进程强杀后租约接管、预算和错误分类 | PASS；测试包 32.964 秒，初始化与 demo 也完成；原操作键恢复为单一平台任务 |
| Go 1.27.1 备份恢复脚本 | Go 1.27.1 交叉构建 macOS arm64 二进制；`scripts/test-backup-restore.sh`；MySQL 8.4 | PASS；源/恢复核心计数均为 `1,1,1,1,28`，迁移校验完整、固定索引6个、外键0 |
| Go 1.27.1 数据库短暂不可用脚本 | Go 1.27.1 交叉构建 macOS arm64 二进制；`scripts/test-db-recovery.sh`；MySQL 8.4 同卷重启 | PASS；readiness `200 → 503 → 200`，恢复后使用原凭据成功受理任务 |
| Orbit HTTP/metrics 子进程 | 同一共享网络命名空间；`TestIntegrationMetricsProcess`；metrics 启用/禁用各一组 | PASS，3.081 秒；监听隔离、隐私、后台采样和优雅退出均通过 | | Orbit HTTP/metrics 子进程 | 同一共享网络命名空间；`TestIntegrationMetricsProcess`；metrics 启用/禁用各一组 | PASS，3.081 秒；监听隔离、隐私、后台采样和优雅退出均通过 |
| 真实Worker执行测量 | `orbit-exec-load`；最终短/混合/中长及截止不足四组，环境及原始JSON见[测量报告](phase-6-execution-load.md) | 96+96+6项全部逐项核验，长任务18次续租；24项截止负例按预期非零退出。SDK全模块竞态/vet/build通过，生产容量未验收 | | 真实Worker执行测量 | `orbit-exec-load`；最终短/混合/中长及截止不足四组，环境及原始JSON见[测量报告](phase-6-execution-load.md) | 96+96+6项全部逐项核验，长任务18次续租；24项截止负例按预期非零退出。SDK全模块竞态/vet/build通过，生产容量未验收 |
| 真实Weave流程测量 | `orbit-workflow-load`；24/100实例、固定发布版本双分支并行及24实例截止负例，见[流程测量报告](phase-6-workflow-load.md) | 124个正常实例、248个不同任务/唯一尝试和本地调用逐项关联；负例2成功/22未核验，非零退出。重新构建并保存源码/二进制哈希，替换旧证据；生产容量未验收 | | 真实Weave流程测量 | `orbit-workflow-load`；24/100实例、固定发布版本双分支并行及24实例截止负例，见[流程测量报告](phase-6-workflow-load.md) | 124个正常实例、248个不同任务/唯一尝试和本地调用逐项关联；负例2成功/22未核验，非零退出。重新构建并保存源码/二进制哈希，替换旧证据；生产容量未验收 |