fix(security): round-64 批1——edge 人工审批门属主化(非属主 404 同形 / pending 按属主过滤) + hub health 兜底不再撒谎(nil handler → 503+ready:false) (#2241)

[DeliciousBuding]

这是什么

round-64 wave 的集成分支（tracker #2241）。为压缩 CI 等待（本仓 required checks strict: true + runner 账号级串行 + 单次 checks ≈8min），本轮把已验收的 lane 堆到一个分支、只跑一次 CI，而不是每 lane 一个 PR 各跑一轮、且每合一个就让后面的分支变陈旧重跑。

含 2 条 lane / 6 个 commit，均带 (#2241)：

lane A — edge 人工审批门属主化（安全 P1）

• PostPermissionDecide / PostPlanDecide：在任何副作用（broker decide / registry consume / event publish）之前加属主门，非属主一律 404。
• 404 用域内码 ErrPermissionRequestNotFound / ErrPlanNotFound，与「本来就找不到」路径逐字节同形 ⇒ 不成为 runId 存在性 oracle。
• GetPlansPending：过滤而非 404（同 GetArtifacts / GetPreviews / GetDeliveryJournal 房型），新增 filterPendingPlansByOwner；单租户哨兵看全部，空身份 fail-closed（AH-SR-045）。
• 门形态取同包 handlers_artifacts.go:77 的属主-only 写法，不照抄 diff_apply.go 的 !ok || 存在性分支——否则既有断言 RejectsUnknownRequest/RejectsWrongRun/RejectsSecondDecision/RejectsExpiredRequest 的 errcode 会被改写（禁止改既有断言）。
• api/openapi.yaml 三段 description 同步（措辞照抄 /v1/delivery-journal）。

lane C — hub health 兜底分支诚实化（可观测性）

• SetupRoutes 的 healthHandler == nil 兜底原先对 /health 与 /health/ready 都答 200 + ready:true，而该分支下没有任何依赖探测。改为两者均 503 + status:"unavailable" + ready:false，镜像已接线 HealthHandler.Ready 的降级信封。
• /health/live 保持 200 + live:true：能应答探针的进程本身就是存活证据，503 会让编排器重启一个只是缺 health 接线的进程。
• 该兜底在真实部署中不可达：App.Run 在监听前无条件接线 HealthHandler（internal/app/wiring.go）；已接线的 /health 即使依赖降级仍答 200（body 带 status/ready 供调用方区分）。
• api/openapi.yaml 给 hubHealth 补 503 响应 + 说明 200/503 的分界。

证据（本机实测，非推断）

lane A（.worktrees/approval-owner）：

• 红→绿：实现未改时新测试 7 红（含 LEAK: user-b sees user-a's pending plan）；上门后 internal/api 全绿，测试数 274 → 287（只增不减）。
• go test ./internal/api/ -race -count=2 → ok 26.5s；gofmt -l 空；golangci-lint run ./internal/api/... → 0 issues。
• 反向验证：门改 if false && …、过滤器还原 broker.ListPending() → 8 红；还原后 grep -c REVERSE-VERIFY = 0。
• 属主路径改前/改后同一组守护测试均绿（200 + {"code":"ok","data":{"status":"ok"}} + run.agent.permission_decided 事件 + 二次决定 404 单次消费语义）⇒ desktop 活体调用方不受影响。

lane C（.worktrees/health-version）：先落红测试 router_health_fallback_test.go（120 行）再修实现；已接线 /health/ready 在依赖坏时仍 503。

集成分支（本 PR 树，cherry-pick 后复跑）：

verify-openapi-contract.py  → OpenAPI Hub routes 153 / Router 156 / Allowlisted 3 / 2xx violations 0 (new: 0)   EXIT=0
verify-doc-ssot.py          → verifier-map ok (66 scripts, 58 CI files) / AGENTS.md 96 paths / doc SSOT ok     EXIT=0
verify-commit-messages.sh   → commit message check ok (6 commits)                                              EXIT=0
verify-ci-gates / -devserver-contract / -oidc-code-ssot / -action-runtimes / -project-skills                    全 OK
go test ./internal/api/ (edge)          → ok 2.226s
go test ./internal/router ./internal/app (hub) → ok 0.140s / ok 1.799s
git diff origin/master..HEAD --check    → clean
api/openapi.yaml YAML parse             → 221 paths

api/openapi.yaml 被两条 lane 同时改（A 在 /v1/permissions|plans/* 段、C 在 /health 段），cherry-pick 自动合并且契约校验逐项回到干净树基线。

不在本 PR 内（明确边界）

• App.Version 注入（app.go:58 注释声称 "settable via -ldflags / Defaults to dev"，实测全仓 -ldflags 只有 -s -w、无 -X，且 Version 是结构体字段 ⇒ 语言层面不可能被 -X 赋值，生产实际值是 ""）：lane C 的第二半，涉及 release.yml 7 处 build 行 + 新增包级 var，属发布管线风险面，另开切片。
• lane B（desktop 菜单尾巴：toast.actionUnavailable i18n key + forward 接线）：仍在途，若在本 PR CI 结束前验收完会 cherry-pick 追加（concurrency: cancel-in-progress 按 PR 号分组 ⇒ 追加只会取消在跑的那次，不额外付一轮完整 CI）。
• lane A 登记的 4 个无属主门文件（handlers_agents.go ×6 / handlers_runtime_sessions.go ×1 / handlers_settings.go ×4 / model_catalog.go ×1）：其中 settings/health/runners/model-catalog 是 Edge 节点级配置面而非 run-scoped，是否属主化需产品裁决；agent-profiles 与 runtime-sessions 更像真缺口 → 另开 issue。

验收口径

L0（单测/vet/gofmt/lint）+ L1（契约/文档 SSOT 校验）本机已跑；L2/L3 未跑（本 PR 不含需要真实 Edge→Hub 回调或浏览器登录的改动）。不声称生产就绪、不声称真实 E2E。

[coderabbitai]

Important

Review skipped

Auto reviews are disabled on this repository. Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: CHILL

Plan: Team

Run ID: 3c61d695-1a75-4be5-ad40-cfee38443016

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}