Skip to content

v0.59.0

Choose a tag to compare

View all tags
@github-actions github-actions released this 01 Nov 20:47
v0.59.0
2e10117
This commit was created on GitHub.com and signed with GitHub’s verified signature.
GPG key ID: B5690EEEBB952194
Verified
Learn about vigilant mode.

0.59.0 (2026-11-01)

⚠ 升级须知 / Upgrade notes

主机从 v0.58.0 升到 v0.59.0：按 docs/runbooks/release.md §3.97、§3.98 执行。带一个迁移 core 0049_admin_agent_sessions（只把 sessions.kind 的 CHECK 放宽一个值 admin_agent，不回填），随 apply-release.sh 自动应用。新环境变量 ADMIN_AGENT_ENABLED 默认关，这一版没有运行时会启动管理员智能体，主机不用设它；但写成 1 / true 以外的非空值，内核启动时直接报错退出，升级前确认主机 .env 里没有它或值合法。

行为变化（遗留 407 关闭）：install_pack、install_module、upgrade_module、roll_back_change_segment、verify_change_segment 只能代表人调用；服务 Principal 的 API key 调这五个能力现在得到 403 forbidden，不能再装包、装模块或写 ChangePlan 分段。主机脚本不用服务 key 调它们，不受影响。

回滚（回退目标 v0.58.0）：先查 select count(*) from sessions where kind = 'admin_agent'。为 0（这一版总是如此）时可以连 schema 一起撤：按 0001 的五个值重建约束，再 delete from schema_migrations where module = 'core' and version = 49；不为 0 时保留 core/0049、只回退代码。AA4 之后若回退到 AA1 之前的代码，要先吊销管理员智能体的 Handle（语句见 0049 文件头与 §3.97）。

主机目前停在 v0.50.0（维护者 10-31 决定，等需要真机完整验证时再一次升），届时从 v0.50.0 连同 §3.75–§3.98 一起走（其中 §3.94 要求内核与 worker-supervisor 同版）。

新功能

  • #897（S11 AA1 + 遗留 407）：平台有了「管理员智能体」身份。它没有自己的 Principal，会话种类 admin_agent 属于管理员本人在该工作区的 human Principal，Handle 只由容器持有；上限是 28 个只读能力，再按工作区角色收窄；每次调用都重查此人仍是有效平台管理员、工作区启用、开关打开，拒绝也记审计；经它的每条审计都带 sessionKind 和 sessionId。approve、apply、rollback 与逐项确认只走人的控制台通道。管理员降为普通用户时立即吊销其管理员智能体会话与 Handle（§3.97）。
  • #900（S11 AA2a）：三个只有管理员智能体会话能调用的只读能力 platform_state_gates、platform_state_connectors、platform_state_audit（能力新标记 adminAgentOnly）。先在调用方工作区做派发检查与审计，再在只读平台事务里重查权限后读取，平台审计写不进去就不返回结果；返回内容按形状白名单投影，像 IP 或像密钥的值丢弃或只计数（§3.98）。

Features

  • kernel: admin agent identity, ceiling and per-call authority (S11 AA1) (#897) (c51352b)
  • kernel: admin agent reads platform gates, connectors and recent changes (S11 AA2a) (#900) (2bf46f7)

This PR was generated with Release Please. See documentation.

Assets 2
Loading