fix(cfg): 视图守卫补内容判据——同尺寸全 0 旧映射块也能拦（#73）
台架（PR #82 head d9303e05，常授权烧写验证）在三点校验版守卫上继续复现 出打回形态：卷层给出的旧映射块与目标文件恰好同长（1064B）且整块全 0， 读长 == st.size 与读前后复 stat 全部通过，解析零错误、RAM 照样打回默认 （15:21 决定性轮：盘文件 RETR 校验七段完好，重载窗口内 s_sntp 三字节段 全 0）。纯令牌层校验对"内容坏"是盲的，必须补内容判据。 处置（引擎侧，与三点校验同族）： - 新增 s_view_bad：重载/保存读到的视图若为空读、或 [0,len) 内任意偏移 含 NUL 字节即判坏——INI UTF-8 文本约定下任何偏移都不得含 0x00；解析 器按行切分遇 NUL 即断行，零块之后的内容本就不可达（静默截断同源故障）， 拒之不误伤任何可解析文档。不要求首字节 ';'（手写文档可直接段名起始）。 - poll：坏内容 = 与长度/令牌不符同处置——拒绝应用，RAM 与基线不动，2s 重试自愈，首次 ERROR + 自检留痕，每 30 趟一条 WARN（限速）。 - save：坏内容同族拒存返回 -1，原文件一字节不动，调用方 dirty 保留重试。 - 边界如实保留：内容合法但陈旧的整卷视图（长度/令牌/内容三者皆一致滞后） 引擎层无法检出，属卷层（dhara/FTL）课题，重启必然收敛；"改过配置后 重启一次"在卷层根治前仍是最稳口径。 测试： - TC-CONFIG-061（poll 同尺寸全 0 块 HELD + 视图刷新自愈 + 零回调）、 TC-CONFIG-062（save 遇全 0 块拒存、文件字节/写次数不动、追平后重试 成功）；桩新增 vfs_mark_stale_zeros() 注入同长全 0 旧视图。 - cfg_file 套件 259/259；iec104 179/179、run_par 67/67、adc_cal 117/117、 sntp 98/98、cfg_file_store_mcu 34/34 复跑全绿。 - /keil-build 0 错 0 警：Code 254,784 -> 254,820 B（+36 B）；台账与同码 凭证已同步。台架实录见 PR #82 评论：NUL 注入块实机 HELD（16:55:46） + WARN 节拍 30/60 趟命中（16:56:42/16:57:41）+ 视图转新鲜后重载自动 追平；残余打回事件均为"内容合法但陈旧"整卷视图（15:19:30/16:34:59/ 16:58:38），属已声明守卫边界，盘文件全程未吞段，重启收敛实机确认 （17:04 RAM 回文件值）。 文档： - 《配置文件设计说明》§4-(3)/§5.3 守卫描述补内容判据与 15:21 实证形态、 风险表行更新、变更记录 v1.17 行同步； - 《配置文件单元测试说明》TC-CONFIG-061/062 行 + 当前结果 259/259 + 扩展指南补 vfs_mark_stale_zeros()。
This commit is contained in:
+51
-13
@@ -30,12 +30,16 @@
|
||||
* 宽度上下界校验，s_encode() 带负号输出；负零点偏移从此可
|
||||
* 干净落盘（动因见 docs/任务规划/数据可信.md §4.4 与 §7 决策 3）
|
||||
* v1.6 2026-11-05 DTU 项目组 热重载/保存视图一致性守卫（issue #73 SNTP 补验揪出）——
|
||||
* poll stat→read→复 stat 三点不一致（空读/截断旧视图或读中改写）
|
||||
* 拒绝应用：RAM 与基线不动、2s 重试自愈、首次自检留痕 + 每 30 趟
|
||||
* WARN 限速；save 读视图与 stat 基准不符拒写（断"短视图→整档
|
||||
* poll stat→read→复 stat 三点校验 + 内容合法性 s_view_bad
|
||||
* （空读或任意偏移含 NUL = 坏视图；台架 15:21 实证同尺寸
|
||||
* 全 0 旧映射块可骗过纯三点校验）；命中拒绝应用：RAM 与
|
||||
* 基线不动、2s 重试自愈、首次自检留痕 + 每 30 趟
|
||||
* WARN 限速；save 读视图与 stat 基准不符或内容坏
|
||||
* 拒写（断"短/坏视图→整档
|
||||
* 外科重写→非默认段被删"吞段链，台架实测 1066B→986B）。
|
||||
* 台架根因为卷层 dhara 旧视图回滚（≥8/8 复现），引擎侧无法
|
||||
* 分辨"一致但陈旧"的整卷回滚——该形态重启必收敛，见设计说明
|
||||
* 台架根因为卷层 dhara 旧视图回滚（复现多形态：空读、
|
||||
* 短读、同尺寸全 0 块），引擎侧无法分辨"一致但陈旧"的
|
||||
* 整卷回滚——该形态重启必收敛，见设计说明
|
||||
* 函数说明：引擎状态非重入——调用方须收敛同一任务（defaultTask：poll/save；
|
||||
* 启动期 load 先于任务竞争）；FS 卷并发由 FatFS REENTRANT 卷锁保证
|
||||
* （见《配置文件设计说明》D15 A+ 方案）
|
||||
@@ -622,6 +626,34 @@ static int s_load_file(uint8_t **p_pbuf, size_t *p_len) {
|
||||
return 0;
|
||||
}
|
||||
|
||||
/*
|
||||
* 函数功能：读视图内容合法性判定（stat/mtime 三点校验抓不住的内容层破视图）
|
||||
* 入口参数：p_buf - s_load_file 成功缓冲 const uint8_t *
|
||||
* len - 实际长度 size_t
|
||||
* 返回值：1 - 视图非法（空读，或 [0,len) 内出现 NUL 字节）；0 - 基本通过
|
||||
* （配置文件按 INI UTF-8 文本约定生成与编辑，任何偏移都不得含 0x00：
|
||||
* 引擎保存只写可打印文本，手写/FTP 文档亦然；即便出现合法前缀 +
|
||||
* 尾部零填充的"部分旧块"，解析器按行切分遇 NUL 即断行，零块后内容
|
||||
* 本就不可达 = 静默截断同源故障，一并拒绝不误伤任何可解析文档）
|
||||
* 限定条件：仅可用于"重载/保存"的既有文档上下文（boot load 首读不经此路：
|
||||
* 空文件 = 合法待建形态）。真机台架 2026-11-05 实证：同尺寸整块全 0
|
||||
* 旧视图可通过长度+再 stat 双检（dhara 旧映射块恰与目标同尺寸），
|
||||
* 解析零错误、RAM 打回默认——首字节即 NUL，本判定 100% 拦截
|
||||
*/
|
||||
static int s_view_bad(const uint8_t *p_buf, size_t len) {
|
||||
size_t i;
|
||||
|
||||
if (len == 0u) {
|
||||
return 1; /* 空读：解析空文档 = 全体打回默认 */
|
||||
}
|
||||
for (i = 0u; i < len; i++) {
|
||||
if (p_buf[i] == 0u) {
|
||||
return 1; /* 全 0 旧映射块 / 含 NUL 坏块 */
|
||||
}
|
||||
}
|
||||
return 0;
|
||||
}
|
||||
|
||||
/*
|
||||
* 函数功能：经后端原子写配置文档（写盘唯一闸口：模板/外科手术同闸）
|
||||
* 入口参数：p_buf - 文档数据 const uint8_t *
|
||||
@@ -1260,7 +1292,8 @@ int cfg_file_save(void) {
|
||||
|
||||
if (in_len != (size_t)st.size ||
|
||||
cfg_store_stat(cfg_store_config_path(), &st2) != 0 ||
|
||||
st2.size != st.size || st2.mtime != st.mtime) {
|
||||
st2.size != st.size || st2.mtime != st.mtime ||
|
||||
s_view_bad(p_in, in_len) != 0) {
|
||||
cfg_store_free(p_in);
|
||||
DBG_ERROR("save: view %luB != stat %luB, aborted (file untouched)",
|
||||
(unsigned long)in_len, (unsigned long)st.size);
|
||||
@@ -1402,13 +1435,15 @@ void cfg_file_poll(void) {
|
||||
}
|
||||
|
||||
/* 2026-11-05 视图一致性守卫（与 save 侧同族，真机台架实证 issue #73）：
|
||||
* stat → read → 再 stat 三点必须一致——读长 ≠ st.size（空读/截断 =
|
||||
* 卷层旧视图；台架 8/8 复现的"热重载打回出厂默认"即空读形态：全段
|
||||
* 静默 memcpy 默认、零解析错误行）或读期间文件被改写 = 读到的内容不
|
||||
* 对应变更令牌。不一致 → 拒绝应用：RAM 副本原样保留、基线不刷新，
|
||||
* 下一趟（2s）重试，视图恢复一致即正常应用（自愈）；若持续到重启，
|
||||
* boot 路径全新挂载必然收敛。首次拒绝自检留痕 + ERROR 一行，此后每
|
||||
* 30 趟（约 60s）一条 WARN 计数行（限速，防日志风暴） */
|
||||
* 三点校验 stat → read → 再 stat + 内容合法性 s_view_bad。台架后续
|
||||
* 实证（15:21）：同尺寸"整块全 0 旧映射块"可骗过纯长度/再 stat 双检
|
||||
* （dhara 旧映射块恰与目标同尺寸 1064B），解析零错误、RAM 照打回
|
||||
* ——故必须验内容：INI UTF-8 文本任何偏移不得含 NUL（见 s_view_bad）。
|
||||
* 命中形态：空读/截断/全 0 块/含 NUL 坏块/读期间改写；不一致 →
|
||||
* 拒绝应用：RAM 副本原样保留、基线不刷新，下一趟（2s）重试，视图
|
||||
* 恢复一致即正常应用（自愈）；若持续到重启，boot 路径全新挂载必然
|
||||
* 收敛。首次拒绝自检留痕 + ERROR 一行，此后每 30 趟（约 60s）一条
|
||||
* WARN 计数行（限速，防日志风暴） */
|
||||
{
|
||||
cfg_file_stat_t st2;
|
||||
int stale;
|
||||
@@ -1420,6 +1455,9 @@ void cfg_file_poll(void) {
|
||||
st2.size != st.size || st2.mtime != st.mtime) {
|
||||
stale = 1; /* 读期间文件消失或被改写 */
|
||||
}
|
||||
else if (s_view_bad(p_buf, len) != 0) {
|
||||
stale = 1; /* 内容层坏视图：全 0 旧映射块/含 NUL */
|
||||
}
|
||||
else {
|
||||
stale = 0;
|
||||
}
|
||||
|
||||
+8
-6
@@ -19,7 +19,7 @@
|
||||
* （len = 1/2/4，小端补码）——标定零点偏移等负值需有符号
|
||||
* 落盘，动因与取舍见 docs/任务规划/数据可信.md §4.4
|
||||
* v1.5 2026-11-05 DTU 项目组 契约同步视图一致性守卫（issue #73 SNTP 补验揪出）：
|
||||
* poll 读视图与 stat 令牌不符 = 拒绝应用（RAM/基线不动、2s
|
||||
* poll 读视图与 stat 令牌不符或内容坏 = 拒绝应用（RAM/基线不动、2s
|
||||
* 重试自愈）；save 读视图不符 = 拒存返回 -1（原文件不动）。
|
||||
* 细节见 cfg_file.c v1.6 与《配置文件设计说明》变更节
|
||||
*/
|
||||
@@ -121,9 +121,10 @@ int cfg_file_load(void);
|
||||
* 完整文档（含文件头注释）；写盘 = 临时文件 + 原子改名；输出超
|
||||
* CFG_FILE_MAX_LEN → 拒绝保存返回 -1（原文件不动 + 自检上报，
|
||||
* 引擎写盘闸口同拒）；读视图与 stat 基准不符（空读/截断/读中
|
||||
* 被改写）同样拒存返回 -1——防按短视图外科重写把文件写小、
|
||||
* 非默认段被静默删除（2026-11-05 视图一致性守卫，调用方脏位
|
||||
* 保留 = 下一趟自然重试）
|
||||
* 被改写）或内容坏（INI 文本任意偏移含 NUL——dhara 同尺寸全 0
|
||||
* 旧映射块 2026-11-05 台架实证）同样拒存返回 -1——防按短/坏视图
|
||||
* 外科重写把文件写小、非默认段被静默删除（视图一致性守卫，
|
||||
* 调用方脏位保留 = 下一趟自然重试）
|
||||
*/
|
||||
int cfg_file_save(void);
|
||||
|
||||
@@ -136,8 +137,9 @@ int cfg_file_save(void);
|
||||
* 函数说明：(size, mtime 变更令牌) 相对基线变化且连续 CFG_FILE_SETTLE_CNT
|
||||
* 次轮询稳定 → 先查 st.size 超 CFG_FILE_MAX_LEN = 损坏 → 工厂默认
|
||||
* + 重建模板 + 自检留痕（不触发段回调：保留在线修复通道，重启
|
||||
* 收敛）；否则过视图一致性守卫（读长 = st.size 且读前后 (size,
|
||||
* mtime) 不变；不符 = 卷层旧视图/读中被改写 → 拒绝应用：RAM 与
|
||||
* 收敛）；否则过视图一致性守卫（读长 = st.size、内容无 NUL（dhara
|
||||
* 同尺寸全 0 旧映射块 2026-11-05 台架实证）且读前后 (size,
|
||||
* mtime) 不变；不符 = 卷层旧视图/坏块/读中被改写 → 拒绝应用：RAM 与
|
||||
* 基线不动，2s 重试自愈，持续到重启则由 load 全新挂载收敛；首次
|
||||
* 拒绝自检留痕，其后每 30 趟一条 WARN）后重载全部段（各段复位
|
||||
* 工厂默认后解析）；挂回调段有差异 → 调用其回调（如触发网络重建）；
|
||||
|
||||
Reference in New Issue
Block a user