修复项目文件列举被无关临时锁删除打断

在读取元数据前按目标范围和受保护路径裁剪遍历跳过枚举后消失的文件和目录并保留其它 IO 错误补充真实写锁并发、范围过滤、分页与链接边界回归测试同步 AGC 文件列举契约与共享排障记录
2026-10-01 19:22:17 +01:00
parent 92467dd53e
commit 9fb37213d4
6 changed files with 459 additions and 28 deletions
@@ -47,6 +47,12 @@
 - **判据/取证**：`cargo test --manifest-path apps/ai-game-creator-shell/src-tauri/Cargo.toml --bin genarrative-ai-game-creator-shell direct_thread_delta`——新增 `direct_thread_delta_sanitization_preserves_line_breaks` 钉住「逐段脱敏 == 整段脱敏」，去掉 `split_inclusive` 即红；真实文本的回归用渲染侧夹具复核（修复前 table/li/h2 全 0，修复后与整段脱敏一致：1 个 table / 3 个 th / 4 个 h2）。
 - **关联**：`apps/ai-game-creator-shell/src-tauri/src/agent/codex_app_server/mod.rs`、`.../agent/generation/prompt_context.rs`、`.../agent/thread_manager/wire.rs`、`apps/ai-game-creator-shell/src/view/project-development/chat/conversation/directThreadChat.ts`、`#384`。

+## 2026-10-01 文件列举被无关临时锁删除打断
+
+- `read_dir` 返回名字后，文件可能在 `symlink_metadata` 前正常消失；`.agent/project.lock` 的正常释放就能触发这类竞态。不要先全项目扫描再按 Agent 的 `path` 和可见性过滤。
+- 项目内列举在元数据读取前裁剪范围和受保护路径，只进入目标子树及必要祖先；共享文件树保留自己的可见性策略。枚举后消失的文件／目录仅跳过 `NotFound`，其它 IO 错误仍可诊断，进入排队目录前复核链接／重解析点。
+- 并发回归用通道协调真实写锁的释放与元数据读取，不靠高频循环碰撞；分页按本次观察到的可见文件排序，不保证跨请求快照。完整合同见 AGC 实施计划“项目文件列举的范围与并发边界”。
+
 ## 2026-09-29 Game Agent 读工具被项目相对路径规则拦住

 - 项目外读取不能只依赖末段 `O_NOFOLLOW`：父目录符号链接可隐藏 `.ssh` 等受保护名字。文件读取和目录列表在访问前逐段检查原始路径，拒绝符号链接与 Windows 重解析点；目录扫描对子目录再次检查。系统临时目录若含平台别名（例如 macOS `/var`），普通读取测试使用临时目录的 canonical 路径，不能通过 canonicalize 待读路径来抹掉待检测链接。
@@ -1,5 +1,13 @@
 # AI 游戏创作智能体 App 实施计划

+## 2026-10-01 项目文件列举的范围与并发边界
+
+`agc_list_project_files` 的项目内 `path` 在遍历时限制到目标文件、目标目录及其必要祖先；不递归无关子树，也不读取无关条目的元数据。Agent 的控制面、敏感文件和快照排除规则在读取条目元数据之前生效；通用 UI 文件树保持原有可见范围。引擎生成目录仍按项目根身份排除，不能因定向列举改变判定基准。
+
+文件列举是实时观察，不是文件系统快照。枚举后消失的文件或待进入目录（`NotFound`）跳过；权限、非目录和其它 IO 错误保留路径及原因，不统一吞错或重试。目标不存在时继续返回空列表；符号链接和 Windows 重解析点不得作为遍历入口。过滤后按项目相对路径排序，再计算 `total`、`offset`、`limit` 和 `nextOffset`；多次分页之间的并发变更不承诺快照一致性。
+
+本修复不调整项目写锁等待、写入许可、项目外读取或工具 DTO。验收通过受控的枚举／元数据间隙释放真实项目锁，并覆盖定向范围、消失目录、真实 IO 错误、受保护路径、链接、引擎目录及分页；不依赖概率性循环碰撞。
+
 ## 2026-09-29 Codex 私有运行目录路径解析

 新建的私有运行目录先确认是普通目录并收紧权限，再解析真实路径，后续 `codex-home`、`workspace` 和隔离用户目录均在真实路径下创建，避免 macOS 系统临时目录的符号链接阻断启动。Windows 扩展 UNC 路径 `\\?\UNC\server\share\...` 必须转换为 `\\server\share\...`，盘符路径才直接去掉 `\\?\` 前缀；转换后保留绝对路径语义。私有子目录仍执行原有祖先符号链接与 reparse point 检查。