fix(cicd): 收敛 public-edge 单一写入权

2026-07-18 17:59:04 +02:00
parent 6429f49823
commit 866afde16b
15 changed files with 987 additions and 179 deletions
@@ -60,6 +60,12 @@ description: >-
  - IP、port、bind/probe 地址和临时 URL 不得作为 L1 用户入口返回；
  - 固定 HTTPS origin 缺失时必须明确失败，不得回退到 IP、localhost、端口拼接或代码默认值；
  - 内部端口冲突时通过 owning YAML 退让到空闲端口，固定 HTTPS origin 保持不变。
+- L1 使用共享 public-edge 时：
+  - 只允许修改本服务 owning YAML 的 `publicExposure` 与聚合 YAML 的 `configRef/path`；
+  - 只允许执行 `platform-infra public-edge plan|status` 或 `apply --dry-run`；
+  - 禁止执行、提示或恢复 `public-edge apply --confirm`、内部 `reconcile`、Caddyfile 写入或容器重建；
+  - 公网配置随正常 `master` merge 由唯一 PaC authority 自动收敛；
+  - 自动链未收敛时使用 `$unidesk-cicd` 只读归因，不由 L1 会话补写。
 - L1 验收命令必须实际从固定 HTTPS origin 打开页面和 API；本机 `127.0.0.1`/`localhost` 只可作为进程健康 probe，不构成 L1 证据。
 - 执行任何 L1 流程时必须扫描当前项目已声明的 L1：
  - 发现历史 L1 尚未配置固定 HTTPS exposure 时，立即建立可追踪记录；