From fc5adf48aa46eab992e7c60fc8af70301dd31f42 Mon Sep 17 00:00:00 2001
From: Suzumiya <suzmii@qq.com>
Date: Thu, 10 Sep 2026 19:34:04 +0800
Subject: [PATCH] =?UTF-8?q?=E8=AE=B0=E5=BD=95=20AGC=20=E9=85=8D=E7=BD=AE?=
 =?UTF-8?q?=E5=90=91=E5=AF=BC=E5=8D=95=E6=B5=8B=E7=9A=84=20Windows=20DACL?=
 =?UTF-8?q?=20=E5=AD=90=E8=BF=9B=E7=A8=8B=E8=B6=85=E6=97=B6=E5=9D=91?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- pitfalls.md：在「终端真实测试不能混用配置参数、stdin EOF 和持续预览」下补一条测试超时补充，紧接既有的 Windows PowerShell 参数条目。
- 内容：配置向导读路径与写路径都会加固私有目录与配置文件，没拿到 secureWindowsPath 桩时 Windows 上每次调用各拉起一个真实 powershell.exe（本机实测约 0.6s / 次）；只桩写不桩读会累计 9 次加固、约 5.5s，稳定撞上 vitest 默认 5000ms 并报 Test timed out in 5000ms。
- 结论口径：只校验配置分层优先级、不校验 ACL 的用例，读写路径必须带同一份 persistenceOptions；确实要覆盖私有 ACL 的用例才保留真实加固并自行留足超时预算。
---
 docs/project-memory/shared-memory/pitfalls.md | 1 +
 1 file changed, 1 insertion(+)

diff --git a/docs/project-memory/shared-memory/pitfalls.md b/docs/project-memory/shared-memory/pitfalls.md
index 542eb6057..c10bf2995 100644
--- a/docs/project-memory/shared-memory/pitfalls.md
+++ b/docs/project-memory/shared-memory/pitfalls.md
@@ -4166,6 +4166,7 @@
 - 处理：GUI 与 `npm run agc:config` 共用系统 AppData `game-creator.config.json`，终端隐藏输入 API Key 并禁止 `--api-key`；更新时保留 `agentLlm`、`editorApi`、`mcpServers` 等其它配置，POSIX 权限维持目录 `0700` / 文件 `0600` 并原子替换。显式 `--config-dir` 必须以 `world.genarrative.ai-game-creator` 为独立叶目录，不能让向导对 `/tmp`、AppData 根或共享目录整体 chmod / 重建 DACL。隐藏输入调用 `stdin.resume()` 后必须记住原 pause 状态，在成功、取消、异常和 `SIGINT / SIGTERM / SIGHUP` 路径恢复 raw mode 并 `pause()`，信号恢复后重发；只移除 `data` listener 会让 `--configure-only`、配置检查失败或 Ctrl+C 保持活动 stdin。缺配置时仅 TTY 人工会话可询问进入向导，非 TTY 立即失败并提示配置命令。
 - Windows 密钥复制：`mode: 0o600` 和 POSIX `chmod` 在 Windows 上不能代替 DACL。隔离 AppData 目录必须先设置仅当前用户、禁止继承的 DACL；目标配置文件先以空文件创建并收紧 DACL，之后才允许把 API Key 字节写入。先 `copyFile` 再依赖 Rust 只读检查或事后收紧会留下密钥暴露窗口，也可能因继承 ACL 不满足 Runtime 合同而在首次 `--llm-status` 失败。
 - Windows PowerShell 参数：不要把 DACL 目标路径和目录标记直接追加在 `powershell.exe -Command <script>` 后；Windows Node `spawn` 会让 PowerShell 5.1 把这些值拼入命令文本，带空格的临时路径会被拆分并使 `GetFullPath($args[0])` 失败。当前实现只通过子进程私有环境变量传入路径和布尔值，并由真实 Windows `npm run agc:typecheck` 覆盖 DACL 回归。
+- 测试超时补充：配置向导的读路径和写路径都会加固私有目录与配置文件，`readGameCreatorWizardConfigState` 与 `writeGameCreatorConfigAtomically` 只要没拿到 `secureWindowsPath` 桩，Windows 上每次调用就各自拉起真实 `powershell.exe`（本机实测约 `0.6s` / 次）。只给写路径传桩、漏掉读路径时，单条用例会累计 `9` 次加固、耗时约 `5.5s`，稳定撞上 vitest 默认 `5000ms` 上限并报 `Test timed out in 5000ms`（不是断言失败）。凡只校验配置分层优先级、不校验 ACL 的用例，读写路径必须带上同一份 `persistenceOptions`，把用例耗时从秒级压回 `39ms` 量级；确实要覆盖私有 ACL 的用例才保留真实加固，并自行留足超时预算。
 - 跨平台临时路径比较：macOS 的 `os.tmpdir()` 可返回 `/var/folders/...`，而 `realpath` 会返回同一目录的 `/private/var/folders/...`；Windows 也可存在驱动器号大小写、junction 或链接解析差异。测试安全路径函数时，fixture 期望值必须基于平台原生 `realpath` 后的根目录构造，不能直接与 `mkdtemp` 的逻辑路径字符串严格比较。不能只依赖开发机自带的路径别名；CI 应创建真实父目录、指向它的符号链接（Windows 使用 junction）和不存在的叶目录，断言安全函数返回真实父目录下的叶路径。`realpath` 和全部断言都应放在 `try/finally` 内，确保失败也能清理 fixture。
 - 超时与进程树：`setTimeout` 后只对直接 Cargo PID 调一次 `kill()` 不是硬超时；Cargo 启动的 CLI / Runner 仍可能持有 stdio，使 `close` 永远不返回，清理阶段也可能无界等待。POSIX 必须创建独立进程组并按负 PID 终止，Windows 必须使用 `taskkill /T`；宽限期后升级强杀，Runner shutdown 和清理另设短硬超时。重复 Ctrl+C 也必须升级，不能一直被自定义 signal handler 吞掉。
 - 模式拆分：自动化使用默认的 `agc:test:chat`，由脚本投递固定植物塔防需求；正式产物、最新 revision 静态检查和 Runtime 浏览器验收通过后立即收束并清理，不启动持续 preview。`agc:test:chat:manual` 不注入 `--task`，用于多轮 stdin 手工聊天，并保留 preview 直到显式退出；不能用 EOF 或是否存在 `game/index.html` 猜测当前模式。