feat: validate Worker protocol and verify process crash recovery

2026-09-17 15:17:09 +08:00
parent 4d4b2e9f7d
commit 9e3d4be5cc
23 changed files with 1878 additions and 28 deletions
--- a/docs/05-production-acceptance.md
+++ b/docs/05-production-acceptance.md
@@ -1,6 +1,6 @@
 # Orbit 生产验收与发布门槛

-> 版本 0.2 · 2026-09-17。本文是验收计划，所有项目当前均为待实现、待验证。没有已通过的测试或容量结论。
+> 版本 0.2 · 2026-09-17。本文是全平台生产发布门槛。P0–P2 已积累阶段证据，见 [开发计划](08-development-plan.md) 与 [P2 验收](reports/phase-2.md)；未覆盖的场景继续实施，尚无全平台生产验收或容量结论。

 ## 1. 验收对象与证据

@@ -89,7 +89,7 @@ W11–W17 中的字段与暂停/计时算法按技术评审后的规范执行；

 ## 5. 发布前必须确定的参数

-以下数值当前均为待定：容量目标、延迟目标、可用性目标、RPO / RTO、消息和批量上限、租约/续租/心跳/重连参数、扫描与补跑预算、查询轮次/间隔/总时限与单轮重试预算、暂停继续的推进预算、保留周期、兼容版本范围。
+生产容量、延迟、可用性目标与 RPO / RTO 仍待实际拓扑验证。当前已实现的消息上限、租约/续租/心跳/重连与恢复扫描参数见 [Worker 手册](api/worker.md)，这些正确性基线不等于生产调优结论。批量/补跑预算、流程查询与暂停预算、保留及兼容范围随对应阶段落实并验证。

 配置之间需要校验，例如续租间隔与安全余量必须允许在租约到期前发现失败；代理空闲超时需与 WS 活性策略协调；最长恢复补发窗口应与幂等和事件保留周期匹配。

--- a/docs/07-data-model.md
+++ b/docs/07-data-model.md
@@ -88,7 +88,7 @@

 外键与 `CHECK` 无法代替执行引擎。P1 已完成 HTTP 动作/队列授权、幂等摘要与原回执、受理事件，以及待执行取消的 CAS/审计事务。执行相关的以下条件继续分阶段实现：

-P2 服务端已新增会话隔离、两步派发、租约、并发许可、结果回执/证据和恢复扫描，见 [执行协议](api/worker.md) 与 [阶段记录](reports/phase-2-server.md)。底层及自动 Worker SDK、尝试/证据查询已实现，完整 P2 验收仍在推进。
+P2 服务端已新增会话隔离、两步派发、租约、并发许可、结果回执/证据和恢复扫描，见 [执行协议](api/worker.md)。底层及自动 Worker SDK、尝试/证据查询、Schema 与进程故障恢复已通过 [P2 阶段验收](reports/phase-2.md)。

 1. 权限验证、凭据校验、命名空间过滤和队列消费授权。
 2. 同一次事务更新任务、尝试、租约、并发许可、事件与流程交付记录。
--- a/docs/08-development-plan.md
+++ b/docs/08-development-plan.md
@@ -26,7 +26,7 @@
 | --- | --- | --- | --- |
 | P0 基础与数据模型 | Go workspace、独立 SDK module、公共/Pulse/Weave 模型、MySQL 迁移、配置、健康检查 | 编译/竞态/静态检查；真实 MySQL 建表、隔离、唯一性、预算、不可变版本、迁移失败防护；SDK 健康调用 | 已完成并通过阶段回归（见 P0 报告） |
 | P1 任务受理闭环 | 应用凭据与作用域权限、队列、幂等提交、查询、待执行取消、受理事件；SDK 客户端 | API/SDK 创建查询闭环；重复键与内容冲突、响应未确认重报、跨命名空间拒绝、参数边界 | 已完成并通过阶段回归（见 P1 报告；真实断路/提交 ACK 丢失注入留后续故障阶段） |
-| P2 Worker 执行闭环 | WSS 接入、能力/容量、领取与开始、租约、续租、结果确认、排空与恢复；Worker SDK | 真 Worker 执行；失联/重连/重复确认/旧尝试拒绝；业务效果未知转核查；节点故障接管 | 开发中：服务端、SDK 协议、自动运行器及尝试/证据 HTTP+SDK 查询通过阶段内回归；自动续租/重连、有界退出、权限/稳定分页和大载荷链路验证通过；完整 Schema 与进程级故障阶段验收待完成 |
+| P2 Worker 执行闭环 | WSS 接入、能力/容量、领取与开始、租约、续租、结果确认、排空与恢复；Worker SDK | 真 Worker 执行；失联/重连/重复确认/旧尝试拒绝；业务效果未知转核查；节点故障接管 | 已完成并通过阶段回归：服务端、自动 SDK、历史查询、完整 Schema 与真实进程强杀恢复；测试拓扑和剩余生产故障矩阵见 P2 验收报告 |
 | P3 Pulse 完整能力 | 安全重试、延时、Cron/固定间隔、漏跑策略、计划版本、并发许可、配额/背压、可靠结果订阅 | 多实例领取/触发竞争、重试上限、取消竞争、队列隔离、积压恢复、事件重复交付 | 待开发 |
 | P4 Weave 主流程 | SDK 定义构建与发布校验、实例、顺序/分支/结构化并行汇合、信号/定时等待、版本绑定 | 重启接续、早到/重复信号、并行竞争、内部事件重放、发布版本兼容；端到端通用流程 | 待开发 |
 | P5 Weave 恢复与查询 | 有界查询、暂停继续、取消、人工核查恢复、控制门控与审计 | 轮次与尝试独立预算；暂停/开始/回执/超时竞争；恢复保留预算；未知结果不盲目重复 | 待开发 |
@@ -74,6 +74,7 @@ SDK、文档与示例随 P1–P5 同步开发，P7 是全量核对，不是最
 - [生产验收总清单](05-production-acceptance.md)
 - [P0 验证记录](reports/phase-0.md)
 - [P1 验证记录](reports/phase-1.md)
+- [P2 阶段验收与进程故障记录](reports/phase-2.md)
 - [P2 服务端阶段记录](reports/phase-2-server.md)
 - [P2 SDK 协议阶段记录](reports/phase-2-sdk-protocol.md)
 - [P2 自动 Worker 运行器记录](reports/phase-2-worker-runtime.md)
--- a/docs/README.md
+++ b/docs/README.md
@@ -2,7 +2,7 @@

 - 文档版本：0.2
 - 整理日期：2026-09-17
- 阶段：P0/P1 已完成，P2 服务端、底层 SDK、自动 Worker 运行器及执行历史查询已通过阶段内回归，协议与进程故障验收继续推进；尚未完成生产验收
+- 阶段：P0–P2 已通过阶段验收，包括协议 Schema 与真实进程故障恢复；P3–P7 继续推进，尚未完成全平台生产验收
 - 适用范围：Orbit 统一平台，包含 Pulse 任务调度模块、Weave 流程编排模块与公共能力。平台面向多个业务系统复用。

 ## 阅读顺序
@@ -79,4 +79,4 @@ Orbit 不内置特定行业规则；Pulse 管理执行，Weave 管理步骤依

 2026-09-17，文档更新至 0.2：用户确认研发定义发布流程及 Weave 首版功能，明确纳入有界重复查询和暂停/继续等生产管理能力。技术细则与参数继续按建议或待定标注，未将功能确认等同于实现或验收通过。

-持续开发目标已建立。当前实现和验收进度以 [开发计划](08-development-plan.md)、[P0 报告](reports/phase-0.md)、[P1 报告](reports/phase-1.md)、[P2 服务端记录](reports/phase-2-server.md)、[P2 SDK 协议记录](reports/phase-2-sdk-protocol.md) 为准；早期设计稿中的“未实现”描述保留其编写阶段语境。
+持续开发目标已建立。当前实现和验收进度以 [开发计划](08-development-plan.md)、[P0 报告](reports/phase-0.md)、[P1 报告](reports/phase-1.md) 与 [P2 阶段验收](reports/phase-2.md) 为准；早期设计稿中的“未实现”描述保留其编写阶段语境。
--- a/docs/api/README.md
+++ b/docs/api/README.md
@@ -13,7 +13,7 @@
 | `/v1/tasks/{task_id}/attempts/{attempt_id}/evidence` 与证据详情 | P2 已实现 | [执行历史](execution-history.md) |
 | `/v1/queues` 创建与查询 | P1 已实现 | [队列接口](queues.md) |
 | 凭据校验与初始化 CLI | P1 已实现 | [鉴权](authentication.md) |
-| `/v1/worker/connect` | P2 服务端、底层 SDK 与自动 Worker 已实现；完整阶段验收继续推进 | [Worker 契约](worker.md) |
+| `/v1/worker/connect` | P2 已实现并通过阶段验收 | [Worker 契约](worker.md)、[Schema](worker-schema.md) |
 | `/v1/schedules` 与计划管理 | 计划 P3，尚未实现 | [协议草案](../03-http-websocket-protocol.md) |
 | `/v1/events/connect` | 计划 P3，尚未实现 | [协议草案](../03-http-websocket-protocol.md) |
 | `/v1/workflows` 与流程管理 | 计划 P4–P5，尚未实现 | [流程接口规划](workflows.md) |
--- a/docs/api/worker-schema.md
+++ b/docs/api/worker-schema.md
@@ -0,0 +1,62 @@
+# Worker v1 机器可读契约
+
+子协议为 `pulse.worker.v1`，消息中 `protocol_version` 为 `"1"`。完整文件：[worker.schema.json](../../protocol/workerv1/worker.schema.json)，使用 JSON Schema Draft 2020-12。业务含义、超时及恢复方式见 [Worker 接口手册](worker.md)。
+
+文件中的 $id 是契约标识，不表示该 URL 已部署下载服务。仓库文件是当前发布载体；回归使用本地嵌入文件，不访问远程 Schema。
+
+## 校验入口
+
+Schema 根接受双向消息，调用方应根据方向选择更严格的定义：
+
+| JSON Pointer | 用途 |
+| --- | --- |
+| `#/$defs/clientFrame` | Worker → 服务端的所有请求 |
+| `#/$defs/serverFrame` | 服务端 → Worker 的所有报文 |
+| `#/$defs/helloFrame` | 注册请求，不允许 session_id、reply_to 或 error |
+| `#/$defs/capacityFrame` | 容量及排空声明，sequence/capacity/drain 均必填 |
+| `#/$defs/resumeFrame` | 尝试归属恢复请求 |
+| `#/$defs/startFrame`、`renewFrame`、`finishFrame` | 开始、续租、结果报告 |
+| `#/$defs/welcomeFrame`、`assignmentFrame` | 注册确认与主动派发 |
+| `#/$defs/ackFrame`、`errorFrame` | 操作确认与公开错误 |
+
+除首条 hello 外，请求必须提供当前 session_id。请求不得包含响应专用字段，包括 `reply_to:""` 或 `error:null`。主动派发没有 reply_to；操作响应通过 reply_to 关联原消息。error 在注册失败时不带 session_id；会话内错误带 session_id，主动致命错误不带 reply_to。
+
+ACK 的 body 根据原请求选择：worker.capacity → welcome，worker.resume → lease，task.start/renew/finish → commandResult。Schema 可以检查三个 body 形状，消息关联与正确分支由连接状态检查；不能仅凭一个独立 ACK 判断它是否对应调用。
+
+## 字段和兼容规则
+
+- 已声明对象使用 additionalProperties=false，业务 payload/result 内部字段由接入方定义。
+- 结构体必填字段必须显式提供，包括 capacity=0、drain=false；缺少字段不能被解释为调用者明确选择零值。
+- epoch、sequence、revision 为规范十进制字符串：范围 1–18446744073709551615，无前导零和正号。SDK 使用 uint64，线上使用字符串。
+- instance_secret/lease_secret 必须是 32 字节秘密的严格无填充 base64url，长度 43；知道资源 ID 无法替代秘密。
+- 结果为非 null JSON；FAILED/UNKNOWN 必须携带稳定 error_code；SUCCEEDED 省略或使用空 error_code。
+- 返回时间使用 UTC RFC 3339，最多微秒精度。验证器应开启 format 断言以校验实际日历日期。
+
+本轮收紧了开发期此前允许的省略控制字段、非规范计数字符串和数组内字段别名。当前 SDK 一直发送完整规范字段，不需迁移；其他自研客户端应按本文件更新。SDK 尚未发布首个版本。将来扩展消息类型或改变字段语义必须同时更新 Schema、服务端、SDK 与兼容回归。
+
+## Schema 与运行时的边界
+
+Schema 检查已解析的 JSON 结构。以下约束必须在原始字节或持久化事务层另外校验：
+
+| 约束 | 实际执行位置 |
+| --- | --- |
+| 文本帧、512 KiB 总帧限制 | WS 读写与解码入口 |
+| 重复键、无效 UTF-8、孤立代理项、32 层嵌套 | 严格 JSON 扫描器，不能先交给会替换非法字符的解析器 |
+| 结果 256 KiB、精确数字文本/指数范围 | 结果校验器；JSON Schema 的字符数不等于编码字节数 |
+| JSON 整数字段的文本形式 | Go 类型解码，例如 1.0 不作为整数控制字段接受 |
+| 当前会话、reply_to 与原操作匹配 | WS 会话及 SDK 控制请求表 |
+| 身份、权限、队列、租约、版本及时间先后关系 | 数据库事务与执行状态机 |
+| 原始回执与当前执行权分离 | CommandResult.receipt 与 lease；历史回执不能复活执行 |
+
+通过 Schema 只说明报文形状合法，不能证明请求已获授权、操作已经提交或业务副作用只发生一次。
+
+## 可复现的验证
+
+```sh
+go test -race ./internal/transport/httpserver -run TestWorkerPublishedContract
+make integration
+```
+
+契约测试对合法消息及变异消息同时运行 Schema 和实际应用输入校验，包含数组内字段别名、缺少字段、错误方向、容量边界、计数溢出、非规范秘密及结果分类。真实 MySQL/WSS 测试在发送和接收时校验实际报文，并覆盖注册、容量、派发、开始、续租、恢复、结果及错误。
+
+测试使用固定版本 [santhosh-tekuri/jsonschema v6.0.2](https://pkg.go.dev/github.com/santhosh-tekuri/jsonschema/v6@v6.0.2)，显式开启 AssertFormat。这个验证器只用于测试工具包，不进入 Orbit 服务二进制或独立 SDK 的依赖图；运行平台仍只要求 MySQL。
--- a/docs/api/worker.md
+++ b/docs/api/worker.md
@@ -1,6 +1,6 @@
-# Worker 通信与执行契约 v1（开发中）
+# Worker 通信与执行契约 v1

-已实现服务端执行事务、WebSocket 接入、[独立 Go 底层协议 SDK](../sdk/worker.md)、[自动 Worker 运行器](../sdk/worker-runtime.md) 与 [尝试/证据查询](execution-history.md)，通过真实 WSS、自动续租、ACK 丢失/持续断网恢复、有界退出及历史权限/分页回归。**P2 尚未完成**：完整协议 Schema 与完整阶段验收继续推进。底层 WorkerConnection 不自动管理处理器；NewWorker / Run 提供自动管理。
+已实现服务端执行事务、WebSocket 接入、[独立 Go 底层协议 SDK](../sdk/worker.md)、[自动 Worker 运行器](../sdk/worker-runtime.md) 与 [尝试/证据查询](execution-history.md)，通过 [P2 阶段验收](../reports/phase-2.md)，包含真实 WSS、协议 Schema、自动续租、ACK 丢失/断网恢复及进程强杀后的节点接管。底层 WorkerConnection 不自动管理处理器；NewWorker / Run 提供自动管理。

 ## 1. 接入与身份

@@ -22,6 +22,8 @@ go run ./cmd/orbit-admin bootstrap \

 只接受 JSON 文本帧；单帧最多 512 KiB，业务结果最多 256 KiB。重复键、未知字段、无效 Unicode 和非法数值按 HTTP 相同规则拒绝。

+机器可读契约及各方向定义见 [JSON Schema 说明](worker-schema.md)。控制字段必须显式提供；epoch/sequence 等计数使用无前导零的规范十进制字符串。请求禁止响应字段，空字符串/null 也不例外。
+
 ```json
 {
  "protocol_version":"1",
@@ -143,4 +145,4 @@ receipt 是原操作的不可变确认；lease 是本次重新核验的执行权

 这些是有界的开发基线，不代表经过容量压测的生产参数。当前同队列操作使用较粗的行锁协调，吞吐与公平性需要 P6 按负载验证。服务退出会显式关闭被 HTTP Upgrade 接管的连接；断开不会直接撤销外部已发出的请求。

-运行中取消、完整 WS JSON Schema、凭据轮换和多节点进程级故障演练尚未全部完成。SDK 已实现自动重连/续租、非协作处理器的有界退出与状态报告；实际证据见 [P2 服务端阶段记录](../reports/phase-2-server.md) 和 [自动运行器回归](../reports/phase-2-worker-runtime.md)。
+协议 Schema 和真实进程强杀恢复已通过回归，见 [P2 阶段验收](../reports/phase-2.md)。运行中取消属于 P3；凭据轮换、数据库故障切换、跨主机演练与容量验收属于后续生产验证。自动运行器对非协作处理器提供有界退出与状态报告，不能强制停止其外部副作用。
--- a/docs/reports/phase-2.md
+++ b/docs/reports/phase-2.md
@@ -0,0 +1,69 @@
+# P2 Worker 执行闭环阶段验收
+
+日期：2026-09-17。P2 已实现并通过阶段回归，此报告汇总本地正确性/故障证据。全平台首版仍需完成 P3–P7；本地多进程接管不能替代跨主机、数据库高可用和容量验收。
+
+## 阶段交付范围
+
+服务端已经提供持久化 Worker 会话、能力及绝对容量、两步领取/开始、续租、结果回执、排空、租约回收，以及尝试/证据查询。独立 Go SDK 提供底层连接控制和自动 Worker 运行器。机器契约、Markdown 接口、运行示例与测试一同交付。
+
+文档入口：[Worker 契约](../api/worker.md)、[JSON Schema 说明](../api/worker-schema.md)、[自动 Worker](../sdk/worker-runtime.md)、[执行历史](../api/execution-history.md)。
+
+## 环境及复现
+
+macOS arm64、Go 1.27.1、Docker 中的单实例 MySQL 8.4.10。服务和子进程使用回环随机端口；WSS 网关使用受信任测试证书，不跳过 TLS 校验。所有故障只影响脚本创建的临时数据库、专用凭据及子进程。
+
+```sh
+make test
+make vet
+make build
+make integration
+cd sdk/go
+GOWORK=off go test -race ./...
+GOWORK=off go vet ./...
+```
+
+脚本先完成数据库与协议集成测试、真实服务及五个 SDK 示例，再停止原服务，进入独立进程故障测试，避免原节点的恢复扫描器掩盖新节点接管。凭据通过环境及 0600 文件传递，不进入 URL 或输出。故障通过 Process.Kill 注入，必须由 Wait 确认目标被信号终止；结束后回收所有测试子进程及容器。
+
+Schema 验证器仅被测试包引用。服务二进制依赖图中不包含 jsonschema 验证器，SDK go.mod 没有新增依赖。当前协议输入由严格解码器、类型及事务校验器处理。
+
+## 本轮新增证据
+
+| 用例 | 注入与断言 |
+| --- | --- |
+| TestWorkerPublishedContract | 所有客户端类型与服务端响应形状通过 Schema；变异报文同时经 Schema/真实应用输入校验拒绝；重复键、非法 Unicode、超范围数字在原始字节层拒绝 |
+| TestIntegrationWorkerWebSocket | 实际 WSS 报文逐条校验 Schema，包括注册、容量、派发、开始、续租、恢复、完成和公开错误 |
+| TestIntegrationWorkerProcessACKRecovery | 三个不同 node ID 的真实 Orbit 进程：A 提交 start 后网关丢 ACK 并暂停重连，强杀 A；切到 B 后恢复同一尝试，再执行处理器；B 提交 finish 后丢 ACK 并强杀 B，启动 C 核对原回执 |
+| ACK 恢复的持久化核对 | 初始开始时间及尝试 ID 不变，会话归属发生迁移；处理器仅一次，任务仅一次尝试；C 返回同一成功结果及版本，没有额外冲突证据；SDK 正常排空 |
+| TestIntegrationWorkerProcessCrashUnknown | 真实 Worker 子进程写入并同步外部工作标记后被强杀，同时强杀原 Orbit；只有新 Orbit 执行恢复扫描，任务进入 NEEDS_REVIEW、尝试 UNKNOWN，未伪造结果；已用 1 次、上限 3 次，不因恢复重置 |
+| 强杀后的许可核对 | 使用 max_concurrency=1 的专用队列；新 Worker 消费同能力的探针任务成功，原未知任务没有再次执行，证明许可可继续使用而原任务仍等待核查 |
+
+初次运行发现强杀用例的专用队列缺少必填速率值，被真实 API 正确拒绝。补齐测试配置后重新执行完整回归。没有通过绕开参数校验让用例成功。
+
+## P2 要求与证据对应
+
+| 要求 | 主要测试与记录 |
+| --- | --- |
+| WSS、协议与身份权限 | TestIntegrationWorkerWebSocket 的 handshake 子用例；TestIntegrationWorkerExecution 的 authority 子用例；本轮 Schema 契约回归 |
+| 能力/队列/进程容量与排空 | multi_node_claim_obeys_queue_and_process_capacity、drain_is_durable_and_capacity_sequence_is_not_additive；自动 Worker 并发与有界收尾测试 |
+| 开始前校验、旧会话隔离 | paused_gate_blocks_start_but_not_saved_result、cross_node_resume_fences_old_session_and_requires_secrets、lock_wait_does_not_reuse_an_earlier_clock_sample |
+| 租约、总/单次时限与回收 | attempt_timeout_and_session_expiry_cap_renewal、recovery_is_bounded_and_unknown_effects_are_not_replayed；自动运行器跨首次租约 32 秒执行及到期取消测试 |
+| 结果原身份核对、证据与事务 | durable_start_renew_and_exact_result_confirmation、result_event_failure_rolls_back_task_receipt_and_permit、finish_without_start_is_only_evidence_and_cannot_free_capacity；SDK ACK 丢失与本轮进程强杀 |
+| 自动运行器恢复及执行次数 | TestIntegrationWorkerRuntimeACKLossRenewAndDrain、OutageCancelsAndReplaysEvidence、Concurrency；本轮 ProcessACKRecovery |
+| 未知效果与不协作处理器 | TestIntegrationWorkerRuntimeUnknownAndUncooperativeShutdown、LeaseLossCancelsAndDoesNotRevive；本轮 ProcessCrashUnknown |
+| 历史、权限、稳定分页和载荷 | TestIntegrationTaskHistory、TestIntegrationWorkerConnectionHistoryAndPayloadBounds；[执行历史回归](phase-2-execution-history.md) |
+| 独立 SDK 与实际接入 | GOWORK=off 回归；health、tasks、worker-protocol、worker、history 五个例子在真实服务上运行 |
+
+更细的历史证据分别在 [服务端记录](phase-2-server.md)、[SDK 协议](phase-2-sdk-protocol.md)、[自动运行器](phase-2-worker-runtime.md) 和 [执行历史](phase-2-execution-history.md)。旧记录中的“下一步”描述当时阶段，本报告及持续计划反映当前进度。
+
+## 契约修正
+
+数组内对象现在同样拒绝字段大小写别名，例如 capabilities 中的 Handler 不再被当作 handler。Worker 控制请求必须显式提供必填字段，计数字符串必须规范且不溢出，请求不能携带响应字段的空值/null。现有 SDK 一直发送完整规范数据，所有接入示例继续通过。首版 SDK 尚未发布，对自研开发期客户端的兼容影响见 [Schema 说明](../api/worker-schema.md)。
+
+## 遗留范围与后续阶段
+
+- P3：策略性安全重试、运行中取消、计划触发、漏跑策略、配额/背压及可靠结果订阅。
+- P4–P5：完整 Weave 定义发布、流程推进、等待/查询、管理与恢复。
+- P6：MySQL 不可用/切主、跨主机故障、滚动升级、备份恢复、负载与容量报告、凭据轮换及运维。
+- 更广的故障矩阵继续包含真实 HTTP 受理 ACK 丢失、派发消息未送达时进程崩溃、慢消费者/重连风暴及清理竞争；当前不把相邻测试推断为这些场景已经验收。
+
+进程故障测试中的外部文件仅表示已发生但未上报的工作，不模拟真实业务渠道的全部事务。SDK 未确认结果仍在进程内存；Worker 重启不能自动找回它。平台按租约和安全等级保留未知状态，后续由核查及业务幂等协议处理。没有端到端 exactly-once、生产 RPO/RTO 或峰值容量承诺。
--- a/docs/sdk/README.md
+++ b/docs/sdk/README.md
@@ -176,4 +176,4 @@ task=<任务ID> state=SUCCEEDED attempts=1 evidence=1 reason=RESULT_CONFLICT dis

 ## 7. 后续交付

-P2 已提供底层协议、[自动 Worker 运行器及示例](worker-runtime.md) 与历史查询，继续补齐协议 Schema 及阶段验收；P3 提供计划与结果订阅；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。
+P2 已提供底层协议、[自动 Worker 运行器及示例](worker-runtime.md) 与历史查询，并通过 [Schema 及进程故障阶段验收](../reports/phase-2.md)；P3 提供安全重试、计划与结果订阅；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。
--- a/docs/sdk/worker-runtime.md
+++ b/docs/sdk/worker-runtime.md
@@ -1,6 +1,6 @@
 # 自动 Worker 接入

-更新：2026-09-17。自动 Worker 已实现，并通过真实 MySQL、实际服务命令、WSS 断线/ACK 丢失/持续断网回归。[尝试与证据查询](../api/execution-history.md) 已可用于核对结果；P2 的完整协议 Schema 和进程级故障验收仍需继续完成。
+更新：2026-09-17。自动 Worker 已实现，并通过真实 MySQL、实际服务命令、WSS 断线/ACK 丢失/持续断网及 [进程强杀恢复回归](../reports/phase-2.md)。[尝试与证据查询](../api/execution-history.md) 可核对结果，协议形状见 [Schema](../api/worker-schema.md)。

 源码：[运行器](../../sdk/go/worker_runtime.go)、[配置与中文注释](../../sdk/go/worker_runtime_types.go)、[完整示例](../../sdk/go/examples/worker/main.go)。特殊传输集成可以使用 [底层协议 SDK](worker.md)，普通消费直接使用本页的 Worker。

@@ -106,4 +106,4 @@ Go 无法杀死忽略 context 的 goroutine。Run 可以有界返回，但这类

 身份、尚未确认的结果和消息 ID 当前保存在内存，支持同进程重连；进程被强杀会失去这些内容。持久化租约、操作回执、最终结果和审计在 MySQL 中，业务外部效果仍需要业务幂等或查询核对。这一边界不等于端到端 exactly-once。

-本轮证据见 [自动运行器回归报告](../reports/phase-2-worker-runtime.md)。实际部署中的多主机故障、数据库复制确认与容量承诺仍需后续生产验收。
+运行器细节见 [自动运行器回归报告](../reports/phase-2-worker-runtime.md)，后续真实进程故障证据见 [P2 阶段验收](../reports/phase-2.md)。实际部署中的多主机故障、数据库复制确认与容量承诺仍需后续生产验收。