实现与验证记录

验收目标见已确认需求，当前用法见项目 README。本记录按源码阶段保存实际运行结果、决策和未覆盖范围；旧阶段通过不证明后续源码。10-04 至 10-08 的旧记录可在 git 历史中查到，原生挂载证据仍在 evidence/fuse-t-20261008*，不能作为当前源码的实挂验收。

验证方式

宿主机只使用已有 Rust 工具链，不安装额外工具/包/工具链。步骤 4–8 每步先运行受影响测试，再串行执行 handoff 指定的默认/feature 工作区测试、clippy、fmt 和最小 CLI 检查；协调者最多复核一个测试目标后提交、推送。多个 CLI feature 构建不能并行覆盖同一个测试二进制。

完整平台组合由 scripts/test-container.sh（2026-10-13 前为 tools/test-container.sh）在固定 Rust 镜像、只读源码和 Docker 缓存卷中执行：Core、Sync 精简/完整 feature、CLI、FUSE feature 矩阵、Web、工作区全目标全功能编译，真实 C/Python/Go 绑定、前端构建/客户端测试和真实 Web 程序冒烟。运行脚本本身不是通过证据；默认忽略的实挂夹具不计入实挂验收。

2026-10-11 共享冲突、退休、设备权限、流式 I/O 与导出

按 handoff 从首个未完成的第 4 步顺序完成第 4–8 步，复核后分别提交到 main 并推送。第 9 步由协调者直接更新文档并执行完整容器验证。此运行时没有 handoff 指定的 Opus 选项，因此每一步使用可用的继承模型、一个实现 agent，步骤不并行；会话没有提供 attribution 行。Proto 未修改。

最终宿主机矩阵

每行是该步骤最终源码的独立执行结果，不相加为不同测试数；每组均退出 0。宿主为 macOS arm64、已有 rustc/cargo 1.99.0。精确命令、环境覆盖、目标结果及日志校验和见宿主结果与原始路径到仓库证据的映射。第 4 步未记录起止时刻，由最终原始日志和当时状态恢复命令/计数，不补造耗时。

工作区测试排除需要宿主 Python 头文件的 cipherfs-python；clippy 使用 PYO3_USE_ABI3_FORWARD_COMPATIBILITY=1。指定 feature 集合为 CLI 的 sync/s3/iroh-p2p/fuse-t/web、Web 的 s3/iroh-p2p/redis-session、Core 的 full/compression/fuse 和 FUSE 的 abi-compat/fuse。默认忽略为六项 macOS 实挂；指定组合另忽略两项内核挂载。未在宿主安装 UI 依赖，UI/绑定运行时在容器验证。

早期失败及修正均保留在步骤 6 专项报告、步骤 7 专项报告和步骤 8 专项报告，不当作最终通过。步骤 6 修复 MemberUpdate 在重开/快照时丢失，以及迟到撤销与管理权限重放；其余失败涉及真实加入、精确 frontier 和完成同步的夹具。步骤 7 第一轮暴露真正的退休取时钟竞态，保持严格重放检查后用确定性时钟修复。步骤 8 初始四个失败是夹具未导入文件索引、未退休其他复用同一单元的旧版本；修正夹具后通过，断言未削弱。

512MiB 不可压缩合成数据实际写入/读回并检查字节数与摘要。安全 tracking allocator 计数跨线程 live allocations 和 realloc 重叠；最终源码峰值 17,085,168 bytes，小于 FastCDC max + 16MiB = 25,165,824 bytes。修复前峰值 25,487,936 超限的失败也保留。见最终内存用例日志。这是本机默认流式路径的回归，不是任意配置、远端读取或全部应用内存上限。

导出最终专项 Core 13/13、最小 CLI 4/4；完整受影响 Core 260 和 feature CLI 108 先于最后的归档长度窄修，最终标准矩阵覆盖该修正。用例包括真实 16MiB+17 流式字节/mtime、空文件、历史/删除/路径冲突、缺失和中途损坏、并发退休/缓存释放、目标竞争与父/暂存名替换、大小写/Unicode 碰撞，以及 4039-byte 键生成超过 4096-byte 的归档路径。只有完整正文计入 ExportReport.files；缺失为目标相对路径，CLI 非零退出仍保留已发布完整文件。

保留的 C1–C14 决策与格式扩展

必要扩展：RetireOutcome 记录生效时受保护的目标，共享重放后允许新提案重新考虑；加密签名 u/<hash>-<len> 清单先于 pack 上传，配合 PackUploadAuthorization 在已接受日志位置签名精确清单摘要，覆盖孤儿包与重打包。清单权限证明按存放点 ACK 前缀修剪，读取时合并本机完整权限证明；不合法清单只保护它对应的包，不阻塞其他 GC。

恢复加入增加独立 genesis TrustAnchor 和恢复派生签名；bootstrap 校验原始签名链、精确 prev/deps、fork 和完整批次。RecoveryRatification 绑定确切自加入段及纪元：恢复设备可立即读写与创建首次快照，撤销、恢复轮换和配对批准需独立已有成员的因果在先批准。普通完整且无损坏的存放点同步自动发布批准，后来的批准不能补合法化此前管理操作。**所有已有设备丢失时，单个恢复设备仍不能管理设备，直到独立成员返回。**这是避免旧恢复秘密伪造高时钟轮换、回滚恢复权限所接受的限制。

配对/恢复冷启动权限证明和快照仍为单对象，预算 32MiB，multipart 未实现。过大的 r 发布以 recovery_proof_deferred 暴露，普通 i/p 与 GC 继续；首个没有 ACK 前缀的 u 证明仍可能超限，不能承诺任意长历史同步。快照不压缩掉本机全部因果日志。

第 9 步完整容器证据

第三轮在最终输入上从头完整执行 tools/test-container.sh，退出 0，开始 2026-10-11T04:12:28.773624+00:00，脚本耗时 1,214,442ms。Rust 各 feature 组共 598 次通过、0 次失败、2 项忽略，60 targets；这是执行次数，包含 Sync 精简/完整组合的重复用例，不当作不同测试数。Rust 编译警告为 0。

C 运行时 15 项、Python 运行时 10 项、前端客户端 7 项通过；Go -race -timeout=180s -count=1、前端生产构建、真实 Web 二进制与 React assets 冒烟通过。最后的冒烟验证同名文件/目录正文读回、目录子项和遮蔽冲突，保持当前键模型；FUSE 的两项忽略仍不是实挂证据。FUSE 四种 feature 编译、最小 CLI 和工作区全目标全功能检查均由同一脚本完成。

Colima default 每轮临时为 8 CPU/16GiB，验证容器限制 3 CPU/6GiB、构建 jobs=3；各工具与附加依赖在容器/缓存卷中。第三轮结束已验证 default 运行于 2 CPU/2GiB，全局 Docker context 保持 default，未清理用户容器/卷或安装宿主工具。源码只读挂载，284 个构建输入在本轮前后 SHA-256 完全一致，之后只整理文档与证据。

最终输入以 e466f05 为 base，包含 C 夹具、C header/绑定 README 的目录说明与 Web 冒烟夹具修正；无绑定/Web/Core 实现变更。精确命令、环境、时刻、资源恢复与源码指纹见最终验证索引、第三轮报告、第三轮摘要和原始结果。前两轮失败及修正保留如下。

第一轮完整脚本的 Rust 各组共 598 次通过、0 次失败、2 项忽略，编译检查无警告；随后 C 运行时在旧的“非空目录删除应失败”断言处 abort，脚本退出 1，Python/Go/UI/Web 冒烟未执行。失败报告、摘要和原始日志保留；该轮结束已验证 Colima 恢复 2 CPU/2GiB，Docker context 未改变，构建输入未变化。

C 夹具现改为验证目录删除后的嵌套正文与派生目录消失、相邻前缀保留、重开后不复活；DirectoryNotEmpty 继续由覆盖非空目标的目录重命名验证，且检查被拒绝操作保留双方正文。Python/Go 原有夹具已遵守此语义，C header 与两份绑定 README 的旧目录描述一并更正。未改变绑定实现或 ABI 签名；第三轮在最终输入上从头通过完整验证。

第二轮 Rust 各组仍为 598 次通过、0 次失败、2 项忽略；C 运行时 15 项、Python 10 项、Go race、前端构建及客户端 7 项通过，随后真实 Web 冒烟因旧的目录上传 409 断言退出 1。需求和已有 Web 集成测试明确允许键 a 与 a/b 共存，此轮暴露的是旧冒烟假设。现改为验证正文可读、目录子项保留、目录优先列表和遮蔽冲突可见，未改 Web 实现或 Core 规则。第二轮报告与摘要保留，结束同样验证恢复 2 CPU/2GiB、Docker context 未改变、输入未变化。

2026-10-11 独立审查修复与验收

I.1 可安全移除与角色切换

Full → Partial → 驱逐 → Full 曾沿用旧 content mark，不回补正文且错误声明完整副本。vault/content_fetch.rs 现在在驱逐后按 CAS 核验并发布撤回的 SyncPosition；vault/positions.rs 在升 Full 时核验全部已接受版本，将新可用性与角色原子发布。保留仍完整的前缀，避免无必要地从零重取。

验收：驱逐后 A 精确列出仅本机持有的历史与当前版本；B 升 Full 后后台自动补齐两版，A 的列表清空；重开后遗留的持久 mark 同样重新核验。实现提交 c6b8569。

• a_full_device_restores_evicted_content_without_claiming_a_stale_copy
• promotion_to_full_rechecks_persisted_marks_against_cached_content
• promotion_to_full_wakes_background_restoration_of_evicted_history（没有显式 fetch/read）

修前失败、最终 Core 262 项与 Sync 8 项通过、fmt 及协调者 Sync 8 项复核见本项证据。

I.2 GC 后的快照追赶

快照曾只供空索引设备加载，休眠设备遇到已回收的日志缺口无法前进。sync/engine.rs 现在为已有索引合并快照；Core vault/snapshot.rs 核对原作者签名的完整输入，再沿正常导入路径原子补齐缺口，保留已接受前缀、本机未发布分支和离线并发 head。重复版本 ID 必须对应真实签名来源，快照不能回滚已知权限或替换已见链。

新写入的 v2 快照把原始加密权限证明放在签名与 AEAD 绑定的前缀，vault/authority_keys.rs 按完整因果批次学习仅封装给自身的密钥，核验最终权限及正文后才提交；存活设备可跨多次纪元轮换追赶，被撤销设备取不到新密钥。v1 仍可读取，存放点对象上限仍为 32MiB。实现提交 1a8469e。

验收：真实 GC 删除所有覆盖段后，已有索引的设备在一轮同步中追上快照及后续日志，离线修改与并发正文保留并上传；连续两次撤销/纪元轮换同样通过。fork、输入增删、来源伪造、proof-only 越界、前缀篡改及加载拒绝后的密钥/数据库/已见位置保留均有回归。

• snapshot_gc_catches_up_existing_index_and_publishes_offline_branch_in_one_round
• snapshot_gc_catches_up_sleeping_member_across_epoch_rotation_in_one_round
• snapshot_merge_preserves_frontiers_and_rejects_signed_forks_and_changed_inputs
• snapshot_merge_accepts_identical_concurrent_versions_with_signed_origins
• snapshot_merge_does_not_apply_file_records_from_proof_only_segments
• snapshot_authority_bootstraps_rotations_without_leaking_or_committing_rejected_keys
• authority_prefix_checks_version_framing_signature_and_aead_binding

原实现失败与新增边界失败保留；最终快照单测 12、恢复单测 9、GC 10、正文同步 8 项通过，Core/Sync clippy、fmt 干净；协调者在最终代码上重跑快照相关 14 项及 GC 10 项通过。见本项证据。

I.3 后台正文内存预算与取消

预取曾在整个版本入批后才检查预算，来源又积累整批正文；取消还会把未尝试单元误报为完整。现在按密文单元切批，达到预算即 flush，跨批次检查取消并保留全部缺失计数。CAS 核验并立即发布借用的正文，Directory/S3 的完整 pack 流式写入匿名临时文件；S3 忽略 Range 的 HTTP 200 同样走磁盘。P2P 双端逐单元传输，小 pack 写入不再复制单元。保留 Vec 便捷接口，后台路径使用流式接口。实现提交 36b8a98。

验收：12MiB 单版本在 128KiB 预算下只完成首批后取消，零预算和大于预算的单元各自成批；恢复后 AEAD 读取一致、Full 完整性重新成立。96MiB 真实 AEAD 密文跨六个 pack，range、无 range、两种超预算单元及 S3 忽略 Range 五种模式，计入临时元数据后的峰值最高 8,406,728 bytes ≤ 9,437,184 bytes（8MiB 预算加 1MiB 单元）。这不替代第四节的 100GB 长期验收，全部版本选择元数据仍随索引增长。

• a_large_version_obeys_unit_budget_and_cancellation_resumes
• real_ciphertext_range_and_whole_pack_fetches_stay_within_budget_plus_one_unit
• streaming_prefetch_checks_hash_and_length_before_immediate_publication
• default_streaming_read_does_not_fall_back_to_a_collecting_read
• streaming_range_reads_verify_ignored_ranges_and_partial_response_lengths
• whole_object_streams_verify_hash_length_and_transport_limit

原实现的取消与 heap 断言失败已保留；最终正文同步 9、CAS 17、Sync 单测 42、导出 13 和在途退休 1 项通过，Core/Sync clippy、fmt 干净。协调者独立重跑五模式 heap 及 GC 10 项通过；最小 feature 的正文回归通过，heap 目标仅编译验证。见本项证据。

I.4 并发加入与撤销后的密钥修复

离线批准的新成员曾身份合法却缺当前密钥。普通存放点同步现在核验每个成员已能读取的纪元封装，管理设备以现有 EpochKeys 补发当前及完整历史密钥；记录用收件人已知的纪元加密，密钥分别封装给公钥。历史分支晚到时同纪元补发，保留 generation/parents/排除成员/恢复权限，不额外轮换。零纪元恢复加入无需补发。实现提交 a0b756e。

Core 的候选学习可跨未知密钥前驱；保存前核验本机与远端完整原始签名链、因果批次、每个版本及最终权限闭包。增量密文暂存和新证明各限 32MiB；fork 提前拒绝，拒绝不改变密钥、数据库、权限证明或已见位置，文件仍沿正常导入路径重放。已有本机完整权限历史仍会增长，multipart 与长期规模留在第四节。

验收：X 撤销、离线 Y 批准 Z 后，Z 下一轮真实 Directory 同步即读写当前纪元，旧正文和重开可用；启用与禁用快照均通过，被撤销 W 得不到新密钥。只写元数据的并发历史纪元在补发前、后到达均补齐且不轮换，重复同步没有新记录。待批准恢复设备不能发布管理补发。

• concurrent_enrollment_gets_missing_epoch_on_next_store_sync
• snapshot_authority_repairs_concurrent_enrollment_on_next_store_sync
• initial_epoch_recovery_ratification_converges_without_key_repairs
• concurrent_metadata_epoch_history_is_repaired_before_or_after_current_delivery_without_rotation
• repair_key_candidates_require_complete_final_authority_and_preserve_state_on_rejection
• incremental_candidates_are_bounded_and_never_advance_state_without_complete_proof
• pending_recovery_cannot_publish_missing_member_key_repairs

原实现的真实断言失败、最终 Core 49、Sync 28 项、clippy/fmt 与协调者独立真实存放点 3 项复核见本项证据。聚合计数包含不同测试目标的执行，专项重跑不另算不同用例。

I.5 时钟偏差下的并发移动与编辑

共同祖先曾按时间选取并在 4096 个节点处静默截断，使低时钟的移动链退回旧路径。index/apply.rs 现在完整扫描仅含父 ID 与时间的 DAG，在因果极大公共祖先间才按时间/ID 决胜，路径仍取 head 自身。合法加入后的回放还可能让高时钟旧祖先晚到；按父 DAG 裁剪文件头，防止祖先误成额外 head。实现提交 1dd2393。

验收：a → middle → final 与基于 middle 的编辑并发，编辑时间较新、较旧或相同，两种交换顺序均显示 final；两版正文、稳定 FileId、精确父关系、重开与后续合并均保持。真实 Directory 同步、超过 4096 层、多个因果极大基点、退休祖先及缺失/损坏祖先另有回归。

• move_chain_and_newer_concurrent_edit_use_the_causal_base_despite_clock_skew
• move_chain_and_older_concurrent_edit_use_the_causal_base_despite_clock_skew
• move_chain_and_equal_time_concurrent_edit_use_the_causal_base_despite_clock_skew
• move_chain_and_edit_prune_ancestor_heads_when_enrollment_follows_the_file
• criss_cross_bases_use_time_and_id_only_between_causally_maximal_ancestors
• a_common_base_beyond_4096_ancestors_still_keeps_an_edit_at_the_moved_path
• a_low_clock_move_chain_and_newer_edit_converge_at_the_final_path_through_a_store

原生产代码的路径断言失败、候选实现的额外父节点失败与最终源码指纹见本项证据。最终 Core 库 173、Core conflicts 13、Sync conflicts 2 项通过；索引 17 项属于 Core 库，不重复累计。Clippy/fmt 干净，协调者独立全 feature conflicts 13 项通过。完整 DAG 扫描成本随历史增长，未据此宣称长期规模已验收。

I.6 Web 下载绑定不可变版本

Web 下载曾先选元数据再按路径打开正文，覆盖或路径复用使响应头与正文来自不同版本。api/files.rs 现在一次选择 head 的版本与大小，整段下载和 Range 均按 VersionId 读取。Core vault/history.rs 两种版本读取共用固定快照，保留按需单元认证、退休 pin 和锁定取消。实现提交 ed33b5d。

验收：仅测试的隔离同步门在元数据选择后插入覆盖写入，修前稳定得到 128/4096、0/4096 和 Range 正文错误；修后完整下载、空文件、Range、重命名/删除后原路径复用均读取所选旧版。

• full_download_keeps_selected_version_during_overwrite
• range_download_keeps_selected_version_during_overwrite
• empty_download_keeps_selected_version_during_overwrite
• downloads_keep_selected_version_during_rename_and_delete
• historical_ranges_fetch_only_selected_units
• closing_vault_revokes_full_and_range_streams_before_the_next_unit
• retirement_keeps_admitted_streams_pinned_and_rejects_new_reads

修前已编译的四个断言失败、只测试差异、最终源码指纹及命令见本项证据。最终 Web 单元 46、文件 API 12，Core conflicts 13/retirement 10/version_streaming 6 项通过，Clippy 全 feature/fmt 干净；协调者独立全 feature 下载竞争 5 项通过。重跑的同一用例不另算不同测试。

II.1 首次 P2P 身份传播

真实回环 QUIC 回归确认：合法恢复设备的首轮同步曾在交换证明前被拒绝。sync/p2p.rs 现在先交换完整加密权限链，再按实际 QUIC NodeId 与本库 genesis、最新 cutoff 判断双方权限；普通对象/正文请求及来源注册均在准入之后。证明 framing 含头部共限 32MiB，声明长度和数量先验证。协议从 /5 升至 /6，两端须一起升级。实现提交 4c44f8e。

Core admit_authority_proof 在事务内保存已验证权限与密钥，不应用远端文件或推进远端普通 frontier；新权限重评既有本机效果并保留生效退休与读取 pin，相同证明不改写数据库。已授权管理设备可另行发布现有纪元密钥补发，使旧纪元合法新成员能验证回应；待批准恢复设备仍没有管理权限。

• recovery_device_first_direct_quic_exchange_propagates_identity_and_content
• offline_approved_device_first_direct_quic_exchange_reaches_unknown_old_member
• independently_approved_unknown_peers_exchange_both_authority_branches_on_first_quic_connection
• concurrently_approved_old_epoch_peer_learns_repaired_current_keys_during_quic_handshake
• direct_quic_proof_rejects_bad_frames_other_vaults_and_identity_impersonation_atomically
• peer_admission_is_atomic_and_proof_only_and_cannot_roll_back_revocations
• peer_admission_does_not_ratify_a_recovery_device
• peer_proof_reconnect_preserves_retirement_pins_local_directories_and_role

修前已编译的实际 QUIC 失败、最终源码指纹和命令见本项证据。最终 Core 23、P2P/Iroh 12、关闭屏障 2、后台/SDK 9、Web P2P 3 项通过，全部 0 ignored，Clippy 全 feature/fmt 干净；协调者独立 P2P/Iroh 12 项通过。计数为执行次数，重跑不另算不同用例。第四节的大历史/multipart 与公网验收仍未进行。

II.2 停滞上传、会话撤销与提交边界

上传曾全程持有 Web 仓库槽和 Core 读入锁，使锁定/退出等待 HTTP EOF，旧会话还可在替换后提交。现在先撤销会话、取消并排空请求与阻塞 worker，再关闭仓库；认证转换串行。加密正文在两层锁外暂存，提交才按槽、会话、Core 的顺序核验会话、仓库实例、纪元及目标 FileId。仅去掉槽锁不足以解除 Core 的等待，因此增加加密准备/提交接口。实现提交 0fe7371。

暂存的新单元及复用单元有 CAS 临时保护，引用重建、退休清理和缓存驱逐不会误删；取消/失败释放引用。文件改名、路径复用或并发创建导致身份改变时明确拒绝。数据库持久化后立即转移正文所有权，后续维护失败只报告维护问题，不删除已提交正文或伪报提交未发生。

• stalled_raw_upload_does_not_block_logout_or_token_revocation
• stalled_multipart_upload_does_not_block_lock_or_token_revocation
• stalled_multipart_http_tail_is_cancelled_without_publishing_the_completed_part
• upload_eof_cannot_commit_after_its_session_is_replaced
• logout_revokes_before_waiting_for_slot_and_survives_a_disconnected_waiter
• logout_wins_upload_eof_while_commit_is_waiting_for_the_slot
• staged_new_and_reusable_units_survive_mid_read_retirement_rebuild_and_eviction
• stale_path_identity_rejects_commit_after_rename_and_path_reuse

修前已编译的三项断言失败、源码指纹和实际命令见本项证据。最终 Core 215、SDK 流式 11、Web 100 次测试通过，Clippy 全 feature/fmt/diff 干净；协调者独立重跑上传接口 18 项通过。原始与 multipart 停滞、已完成 part 后仍停滞的 HTTP 尾部、取消退出 waiter 和 EOF/撤销并发均保留原正文并允许立即重开；没有新增 ignored。

II.3 仅存放点的 Web 后台恢复

只保存 Directory/S3 配置、没有 P2P peers 时曾不恢复后台同步，存放点打开失败也被丢弃。sync/background.rs 的存放点和正文任务现可独立于 Iroh 编译；Web 登录、解锁与重设密码按已签发会话恢复任一已保存的存放点或 peer。打开失败以安全类别和数量保留在 sync_state.last_error，健康存放点继续工作；后台运行错误可观察并在恢复后清除。实现提交 b0c4022。

退出先撤销会话，再等待已准入的后台初始化与任务排空；关闭后释放所拥有的 P2P 节点，保留已停止的后台句柄也不会继续占有 Vault。队列中的旧会话不能附着到新登录。存放点测试适配器补上流式读取转发，保留原有范围与整包读取次数断言。

• saved_directory_restores_full_content_and_restarts_after_logout
• saved_s3_only_restores_content_with_process_isolated_credentials（实际回环 S3，无 Iroh，凭据在隔离子进程中）
• saved_store_open_failures_are_visible_without_peers_or_opened_stores
• healthy_saved_store_continues_while_another_configuration_cannot_open
• background_store_runtime_failure_is_visible_and_clears_after_recovery
• logout_revokes_promptly_and_drains_an_admitted_background_setup
• queued_resume_cannot_attach_to_a_replacement_session
• shutdown_drains_store_workers_and_releases_every_owned_vault_clone

原生产代码的已编译断言失败及最终 S3 测试的隔离重现见本项证据。最终 Web 精简 102、无 Iroh S3 目标 5、完整 107，Sync 精简 23、完整 72，共 309 次顶层通过，另有 2 次隔离 S3 子测试；零失败/忽略。两种 Clippy、fmt 与差异检查通过。协调者独立重跑无 Iroh S3 目标 5 项及其隔离子测试、fmt、差异检查均通过。夹具分页错误、旧构建缓存误用和测试适配器失败单独保存，不计作验收；Web 复验输入未受随后适配器补丁影响。

II.4 Web 冲突正文与保留改名

冲突面板曾只能选择版本，无法比较正文或移动被目录遮蔽的文件。新增认证的 GET /api/v1/files/{encoded_path}/versions/{id}，一次固定所选 head 的元数据与正文，复用完整/Range 流式下载；支持落败文件身份、并发移动后的实际路径和空文件，明确拒绝无关、过时、删除或不可读的选择。实现提交 8b4dee4。

Core keep_and_rename_head 原子发表一次所选 FileId 的合并与移动，使用指定 head 的正文，以该文件的全部 head 为父；原路径的其他文件身份和目录子项保留。目标占用或选择无效时不发表变更，a 与 a/b 共存规则保持。前端可逐个比较最多 64KiB 的正文、显示空文件/二进制/截断状态、下载所选 head，并输入目标路径保留改名；失败保留面板，切换路径或关闭即取消过时读取。

• head_content_route_streams_shadowed_and_losing_heads_and_rejects_invalid_selection
• head_route_uses_materialized_path_after_concurrent_move_and_reports_missing_content
• keep_and_rename_preserves_shadow_directory_and_rejects_without_mutation
• keep_and_rename_chooses_requested_body_without_removing_other_file_ids
• keep_and_rename_selected_head_is_one_identity_preserving_resolution
• keep_and_rename_preserves_key_shadows_and_other_contenders
• keep_and_rename_rejects_invalid_stale_unrelated_and_deleted_heads_atomically
• head_downloads_keep_pinned_metadata_and_body_after_resolution_move_and_delete
• download_writer_is_bounded_and_stops_when_the_body_is_dropped

最终夹具在隔离的 a6e28c7 上重新运行，后端原有 1 项通过、新增 4 个断言失败，实际 React 组件原有行为 2 项通过、7 个交互断言失败；生产输入与夹具校验和均核对。修后 Core conflicts 16、Web 冲突 API 5、下载单测 7、文件 API 18，共 46 次 Rust 通过；有界容器内前端构建、客户端 15 和实际 React DOM 9，共 24 次 Node 通过。Clippy、fmt、差异检查干净，协调者独立重跑冲突 API 5 项、fmt 和差异检查通过。见本项证据。React 交互由 Jsdom 驱动，接口错误、正文边界与真实流式客户端另有验证；数据库重开夹具修正与构建准备不算修前失败证据。

III.1 接口、角色与内存保证

原待办要求消除 Partial 完整离线导出与 Vec 结果内存固定的矛盾。需求及双语 Rust API/架构文档现已明确：完整离线导出要求 Full 正文追上本机接纳的 frontier 且缓存完整；Partial/追赶中的设备报告所选正文缺失，原生目标须能无损表示所选键。缓冲读取失败返回 Err，writer/HTTP 流在晚发错误前可能已输出认证前缀，失败后应丢弃输出或中止发布。用户新增的挂载、缓存与离线读取“不挂起”要求保持，实际验收仍列为待办。实现提交 02cf007。

Core 新增 list_page、list_file_entries_page、file_history_page，SyncedVault 新增 list_page、history_page；限制为 1–1024，逐行扫描加密索引，最多保留 limit 个结果及一个正在进入的结果。值型续页绑定仓库与查询范围，历史还核对 FileId，可序列化并跨关闭重开，不持有数据库/句柄。每次查询当前视图；静止仓库拼页等于原 Vec 接口，并发变化不承诺跨页快照。Vec、单行正文引用/争用者、历史遍历 ID、完整索引与扫描时间仍有随数据增长的成本。

• directory_pages_preserve_empty_derived_shadowed_and_contending_entries
• history_pages_preserve_time_ties_cross_file_parents_and_deleted_views
• history_traverses_live_ancestors_of_retired_versions_and_rejects_path_reuse
• limits_and_scopes_are_rejected_and_values_survive_serialization_and_reopen
• queued_page_requests_do_not_retain_the_database_or_block_close
• encrypted_namespace_scans_do_not_allocate_the_full_result_for_a_two_entry_page

最终夹具 Core 页 6、SDK 页 1、排队关闭 1、分配测量 1，共 9 次通过，协调者独立重跑 Core 页 6/6。384 项、limit=2 时目录页/键前缀页峰值为 4,616/4,368 bytes，Vec 为 144,936/181,280 bytes；仅衡量查询分配，不包含初始化/写入，也不证明百万文件预算。Clippy、精简 feature、fmt、差异及文档范围检查通过。此前受影响 Core 55、选择器 1、SDK 关闭 10 等作为前一源码阶段的支持证据单独保留；时钟低于加入时间、删除时间平局导致的两次夹具失败均排除，保留原断言并修正时间后复验。见本项证据。

III.2 可测规模预算

原待办要求为规模目标指定参考设备、内存、启动/首次同步时间，以及 100 GB 经存放点的验收场景。需求现保留百万当前文件、1 TB 未退休版本正文、10 设备与 100 GB 单文件，并明确十进制 GB/TB 与二进制 GiB。参考 Partial 为 arm64 4 核/4 GiB/256 GB，Full 为 8 核/16 GiB/SSD；进程树 RSS 和 live heap 分别限制 512 MiB，冷启动 30 s、页调用 5 s，首次索引与 Full 正文分别为 1,800/21,600 s。它们是验收预算，尚非实测达成值。文档提交 4e11a04。

规模预算验收过程给出精确百万文件/1 TB 清单、固定 Clock/mtime、首中尾历史页，容量/暂存/密文余量，以及 Directory Range、S3 忽略 Range 的独立 100,000,000,000-byte 传输。源导入、完整发布、空白目标索引、正文补齐与流式摘要校验分别计时，全程上限 14,400 s；另测取消/进程终止后续传。三份正文及额外开销留 20% 空间，不额外保存第四个 100 GB 文件。冷暖运行、RSS/heap/CPU/网络/磁盘口径和失败条件均列明；32 MiB 权限证明/快照触限也算规模未通过。

budget-consistency 44 项与协调者 coordinator-budget-consistency 16 项通过，核对单位、容量/时间、源码常量、链接/frontmatter和规模节之外的字节保留，差异与 JSON lint 干净。见本项证据。本项未执行 Cargo 或长期实验；现有短回归和高配置宿主不是手机、百万文件或 100 GB 验收证据，实际运行仍属第四节待办。

III.3 需求验收表

文档提交 7ca06f1；验收表有 66 行，覆盖 21 个需求节/子节与 58 个条目组，130 个测试引用均核对到具体函数和断言。子代理结构检查 947 项、协调者独立检查 854 项通过；需求与规模预算正文、Proto 和 ignored 声明保持不变。README 描述现有行为，TODO 只保留 IV，并保留后来补充的挂载差距。见本项证据；全局构建和运行结果另见下节。

当前结论：主体完成，见待办。 下表逐节、逐子节与条目组对应已确认需求。“已实现；常规验证”表示有源码和本记录中的短回归/分阶段证据，只覆盖所列断言；“已实现；真实验收待办 IV”表示实现存在，但目标硬件、云账号、公网或实际挂载尚未验证；规模行的“预算规范已完成”只表示验收标准已确定，性能与规模目标尚未实测；“部分实现/待实现；待办 IV”保留具体缺口。“范围约束”记录明确不承诺的边界，不是缺失功能的通过声明。

本轮核对现有测试的实际步骤和断言，没有新增生产实现、测试或 ignored。正文、页结果和单对象预算不能替代整体规模验收：单版本 UnitRef、历史 visited IDs/待遍历父版本、文件 heads/路径争用者、完整成员/权限状态仍增长；加密命名空间的 HMAC 键不能直接按明文排序，页查询可能重复扫描；权限证明与快照仍为 32MiB 单对象，本机完整因果日志仍保留。

状态转换断言核对

当前源码全局复验

首轮完整容器在 Python 并发元数据夹具处失败：Rust 707 次、C 15 项通过，Python 9/10 通过；夹具在上传仍读取输入时要求新文件可见，与 II.2 的成功 EOF 原子发布语义不符。测试修正提交 f48c4f0 只增加显式读取/EOF 屏障与提交前不可见断言，保留原最终 exists/list/prefix 断言、2 s 启动/5 s future/20 s 子进程期限，并新增完整正文核对。最终定向 1/1、完整 Python 10/10 与协调者独立定向 1/1 通过，见夹具证据。生产代码未变；完整脚本随后重跑通过。首轮结束后已恢复 Colima 2 CPU/2GiB，失败与恢复日志保留，不计入最终通过数。

2026-10-12 本地日期归档。首次宿主记录对应实现提交 7ca06f1，完整容器复验对应夹具提交 f48c4f0，原生全 feature 复验对应提交 42801cd；以下为各次实际结果，旧阶段的 598/1044 等执行次数保持历史范围。Cargo 数量按各 feature 组的执行次数计，不能累计为不同测试总数。

原审查 I–III 的修复与要求的验证门槛已完成。 首次原生检查缺少 macFUSE 构建依赖；复验只将官方 macFUSE 5.4.0 包解开到私有临时目录，使用原始 libfuse.2.dylib、MFMount 和 pkg-config 元数据，并由已有 Colima 容器中的 genuine pkg-config 解析只读元数据。官方包、库与 framework 的签名和指纹、实际 Darwin backend、精确命令、环境及源码一致性见原生复验证据。没有安装宿主工具或内核组件，没有运行包安装脚本，也没有修改官方二进制/元数据、关闭 feature 或改为跨目标构建；容器只代理构建工具，Cargo 编译、链接与非 ignored 工作区测试仍在原生 Darwin 上执行。

宿主期间只有不由 Cargo 执行的 Python 运行时夹具变化，原始 before/after 清单保留该差异，其余 297 个追踪输入逐字节一致；宿主与最终容器的 Rust 输入一致。最终容器全过程输入不变，两轮均在 Colima 8 CPU/16GiB 下运行并在结束后恢复 2 CPU/2GiB。为释放磁盘，仅清理验证卷中已结束编译的约 2.8 GB 示例产物，未删源码或用户数据。Proto 与原有 8 个 ignored 声明未变；普通测试与 feature 编译不算当前源码实际挂载。见首次宿主日志与结果、完整容器日志与资源恢复、原汇总与校验和。原生全 feature 复验的 298 个输入与最终完整容器逐字节一致，运行中源码与临时依赖均未变，Colima 始终保持 2 CPU/2GiB；新原生汇总补齐门槛，旧汇总的未通过字段保持历史事实。

原全局文档验收表独立复核 857 项通过，见原结构检查。原生复验补录后独立结构检查 1562 项通过，继续保留 66 行、21 节/子节、130 个精确测试引用，并核对原生结果、依赖 provenance、历史证据、IV 与 ignored 边界；见原生复验结构检查。

IV 本机空间扩展

IV.1 挂载来源与后台生命周期

原待办第 1 条已修复，实现提交 8f87995。mount 与 read 共用 ContentRuntime，自动注册已配置存放点和已保存/显式对端，持有 BackgroundSync；原生挂载循环让出 Tokio worker，退出或启动失败后等待任务排空。临时离线存放点保留重试，不阻断健康来源和本机正文；配置错误及缺少 feature 明确失败。

partial_mount_preparation_fetches_missing_content_from_configured_store 修前已编译运行，正文断言以 ContentUnavailable 失败；修后相同断言通过。保存对端测试 partial_mount_preparation_fetches_missing_content_from_saved_peer、独立 CLI saved_peer_is_automatically_used_for_partial_cli_reads、实际适配器句柄 shared_vault_content_sources_reach_fuse_handles_without_read_ahead 均通过；后者核对列目录和打开文件不取正文。native_startup_failure_stops_mount_runtime_and_removes_owner_record 与 runtime shutdown 测试核对立即重开数据库。

CLI 单元 24、FUSE 单元 26、无 sync CLI 单元 20、无 S3/P2P CLI 单元 24，以及独立 CLI/后台关闭各 1 项通过，fmt、定向 Clippy 无警告；协调者独立重跑正文准备 2 项、适配器 1 项和启动失败清理 1 项通过。原始日志与指纹保留修前失败、夹具编译错误和 Drop 观察竞态的分类，后两者不计作缺陷复现。初连对端的既有超时仍待第 4 条；本项不算真实挂载验收。

完整工作区默认测试随后捕获 CLI 自身未启用 S3、依赖 S3 被其他成员统一启用时返回错误类别不符。补丁 d46b138 在启动前检查 CLI 自身功能开关；原 configured_s3_store_is_not_ignored_without_s3_feature 编译后先失败，保持断言后通过，同组 6 项与 Clippy/fmt 通过。补充证据保留首次 workspace 24 通过/1 失败及修复前后日志；首次失败不计整套通过。

IV.2 普通读取与挂载预算调度

原待办第 2 条已修复，实现提交 fd8b19a。Core 读取（含缓存命中和失败前缀）、最后快照句柄关闭及角色/本机策略改变通知后台；成功同步即使没有新段也执行正文轮次。订阅注销不持有 Vault，通知不在注册表锁内执行。驱逐继续使用 protected_units，保留固定正文、未确认写入和活跃句柄；Full 不自动驱逐。短命 ContentRuntime 排空后台后只驱逐，不在退出时取正文。

修前已编译的 background_core_reads_schedule_partial_budget_without_explicit_wake、cached_reads_reschedule_eviction_after_protection_changes、zero_segment_exchange_evicts_newly_confirmed_content_without_prefetching_unpinned_files、last_fuse_handle_release_schedules_pending_eviction、short_lived_content_runtime_enforces_budget_after_draining_without_fetching 和 Core 策略/角色测试均在目标断言失败，修后通过。失败读取前缀与多订阅/注销也有回归。Web 实际面板测试先因缺预算输入失败，现支持安全整数 bytes、0 与空值；空/null 在既有 API 中表示保留预算，真实 devices_safe_removal_and_device_settings 核对整数、0、null 和省略字段。

正文精简组合 14、默认策略/角色 3、FUSE 27、CLI runtime 默认 6/无 sync 4、Web API 1、React DOM 10 项通过；定向 Clippy、fmt、TypeScript 和面板 ESLint 通过。协调者独立重跑正文 14、句柄释放 1、真实 API 1 和短命命令 1 项通过。证据保留全部阶段，原全 UI lint 的 8 条未改文件错误与一次初始轮次等待夹具竞态单列，不计入验收失败复现。未新增 ignored；真实挂载仍待 IV.3。

IV.3 macOS 挂载防护与真实运行

原待办第 3 条的挂载防护已实现，提交 1492a98；Finder 验收未完成。Mac 挂载专用零字节只读 marker 不进入 Core/CAS，真实同名文件或目录优先，普通适配器命名空间保持；run/spawn 在 ready 后验证 Time Machine，仅 Included 才用非 root tmutil addexclusion，必须再核对，失败关闭并 join。修前 macos_mounted_marker_is_read_only_and_does_not_enter_core 已编译运行并以 ENOENT 失败；修后 marker、真实名字、句柄和关闭保护共 32 项通过，Clippy/fmt/harness build 通过，协调者独立重跑 32 项通过。

2026-10-12 本地日期，本机 macOS 27.0.1 (26A434)、arm64、FUSE-T 1.2.9、UID 501。实际运行 cargo build --locked -p cipherfs-fuse --no-default-features --features fuse-t --example partial_mount_acceptance 的产物，通过 afterminal agent 租约控制 status、budget 65536、stop；A Full/B Partial 在同机真实 loopback QUIC 同步，8 个 txt/bin/有效 PNG 文件。挂载由 APFS device 16777233 变为 NFS 436207638，root marker 实读 0 字节，tmutil isexcluded <mount> 为 [Excluded]，无需 root。Finder 阶段预算 885,554 bytes 高于全部 fixture 密文 820,018 bytes，确保取回内容不会被驱逐而掩盖增长。

cat <mount>/recent/first.txt 精确取回 102,400 bytes，86 ms；缓存由固定目录的 54,288 增至 156,704 bytes。budget 65536 后 111 ms 内旧正文自动驱逐，固定目录保留 54,288 bytes。stop 完成 mount worker join/后台停止，原 device 恢复、mount 表消失，终端观察到进程退出 0（清理约 9,406 ms）；这些是实际挂载结果。日志、源码与二进制指纹包含修前实挂缺 marker、修后运行与退出记录。

Finder 未浏览，R58 不标完成。 cua.getApp("Finder")、reset 后 bundle id 重试、真实挂载就绪后的 cua.getState() 均返回 Sky Computer Use native pipe startup failed；无可见 GUI、截图或浏览结果。没有改 Finder 偏好或关闭预览。原待办第 3 条保留 Finder 验收；后续可使用同一 harness 复验。修前探针仅证明卸载，过早删除仍运行的终端不计正常退出；本次正常退出证明另存。退出后终端租约已消失的 404 归为管理清理观察，不是进程失败。

IV.4 离线读取与来源生命周期

原待办第 4 条“部分设备无来源可达时读取未持有文件立即失败，挂载返回 EIO，后台重试不阻塞读取”已修复并验收，实现提交 dc0a629。已知离线来源直接跳过；未知失联 QUIC/S3 的首响和无进展限制为 1 秒，持续传输仍有原 QUIC 120 秒/S3 60 秒总限，正常慢速正文和上传可超过 1 秒。FUSE 精确映射 ContentUnavailable → EIO；关闭先取消属于该后台的传输、关闭节点，再排空工作。S3 独立取消状态保留调用者共享 Arc 与停后重启语义，已停止来源可移除，临时失联来源可由后台恢复。

修前 QUIC 单/批正文、S3 无响应、完整 E2E 和 Core 错误类型均已编译并在目标断言失败；另补共享 S3 关闭回归先失败后修复。partial_device_quic_vault_and_fuse_reads_evict_safely_and_fail_offline 用真实 QUIC、A Full/B Partial 与 120,000-byte 预算，通过普通 Vault 读取和 FUSE 打开句柄取回 100,000-byte 文件；自动驱逐已确认旧正文，保护未发布写入、固定目录和活动句柄，释放后驱逐，保留离线 peer/重连并在 500 ms 内精确失败。定向 8 组共 93 次通过，512MiB heap 回归通过；Clippy/fmt/无 feature/harness build 通过。协调者独立重跑 E2E 1 与 S3 7 项通过。证据保留失败源补丁、全部原始日志和 13 项源码指纹。

完整 all-features 检查另发现健康 CLI 对端首次读取失败：Iroh 对复用 NodeId 的旧 UDP 路径仍有信任期，整段 1 秒预连接会过早取消。补丁 bf6eb11 并发探测保存对端；完全无回应仍限 1 秒，有本次认证发现回应才保留原最多两次 15 秒冷连接尝试，不等待后台重连。认证流按实际读写进度限制空闲，保留 120 秒总限、权限证明边界与双方授权；已建立来源的离线读取仍立即失败。

原 saved_peer_is_automatically_used_for_partial_cli_reads 与 real_cli_p2p_clients_sync_all_thresholds_retry_and_reject_another_vault 在 ce733bd 编译后均失败，现保持断言后 2 项通过；runtime 7、P2P 20，共 29 项通过，Clippy/fmt 干净。新增 many_unavailable_saved_peers_share_the_foreground_probe_window 核对 64 个静默对端聚合等待、后台保留与关闭后重开；认证停滞与慢速头/正文进展亦有回归。补充证据保留首次整套 116 通过/2 失败、原始失败与中间补丁失败，分阶段源码指纹不混计为最终通过。

同机 macOS 27.0.1 (26A434)、arm64、FUSE-T 1.2.9、UID 501 用新版 partial_mount_acceptance 实挂，APFS device 16777233 → NFS 436207639；marker 实读 0 bytes，/usr/bin/tmutil isexcluded <mount> 返回 [Excluded]。/bin/cat <mount>/recent/first.txt 取回 102,400 bytes / 106 ms，缓存 54,288 → 156,704 bytes；budget 65536 后 119 ms 驱逐至 54,288 bytes，保留固定目录。disconnect 关闭 A 后 B 仍有 1 peer，is_syncing=true；/bin/cat <mount>/offline/never-read.txt 在 65 ms 退出 1、输出 0 bytes，错误 Input/output error；独立 os.read 在 49 ms 返回 EIO=5，正文仍未缓存，缓存维持 54,288 bytes。stop 完成 join/后台停止（约 3,213 ms），进程退出 0，原 device 恢复且挂载表消失，之后才删除终端会话。

Finder 在新版真实挂载就绪后再次返回 Sky Computer Use native pipe startup failed，仍没有浏览或截图；R58 与 TODO 第 3 条继续待验收，本小节不能宣称全部完成或清空。

IV.5 最终工作区与容器验证

源码阶段 e6959b3 在干净工作区复验，三个最终阶段使用相同的 310 个源码输入，运行前后源码、Git 状态与日志 SHA-256 均核对。宿主 cargo fmt --all -- --check、默认及字面 --all-features 的工作区全目标 Clippy 均通过，0 编译警告；设置 PYO3_USE_ABI3_FORWARD_COMPATIBILITY=1。默认工作区测试 672 通过 / 0 失败 / 6 既有忽略，全 feature 700 / 0 / 8，各 58 个测试目标；git diff --check 通过。默认阶段与全 feature 阶段保存完整命令和原始日志。

全 feature 构建、链接和测试均在 Darwin 原生执行。已有 fuse-t 不变；macFUSE 5.4.0 官方签名安装包只在私有目录解包，未安装或执行安装脚本；由已有 Colima 容器中的 pkg-config 解析官方包的只读 Darwin 元数据；Cargo 编译、链接与测试仍在原生 Darwin 上执行，不改 Rust target 或删减 feature。依赖文件前后指纹一致，未安装宿主工具。

完整 sh tools/test-container.sh 退出 0：Rust 754 通过 / 0 失败 / 2 既有忽略，73 个测试目标，0 编译警告；C 运行时 15、Python 10 项通过；Go 运行时检查通过，日志未逐项列出测试数；Node 客户端/React DOM 两组分别 15、10 项通过，前端构建与真实 Web 冒烟通过。统计按各 feature 组合的实际执行次数计，不合并为唯一测试数。Colima 开始验证前实际为 8 CPU / 16 GiB，结束后已实际恢复 2 CPU / 2 GiB；仅清理任务所属 Cargo 生成缓存。完整容器证据保留资源状态、命令、计数、日志及校验和。

最新 GUI inventory 已成功且 Finder 正在运行，但 Finder/Chrome 绑定返回 cgWindowNotFound、Dock 返回 timeoutReached；没有键鼠输入、目录浏览或截图，未改 Finder 设置。早先原生管道失败保留为历史观察，最新尝试原始记录随容器证据归档。IV.3–IV.4 的实挂证据属于各自源码阶段，本轮未重新实挂最终提交。Finder 缓存不增长仍未验收，R58 与 TODO 第 3 条保持未完成，该小节不能清空。

IV.6 Finder 浏览验收

2026-10-12，macOS 27.0.1、FUSE-T 1.2.9，提交 7381686 的夹具真实挂载。用 open 让 Finder 打开挂载根目录与全部 5 个子目录、定位 4 个文件（含 PNG），lsof 确认 Finder 持有这 6 个目录；浏览前后 cached_content_bytes 均为 54,288，缓存文件只有固定目录的 pinned/guide.txt，未生成 Finder 元数据文件，夹具退出 0。AppleScript 与截屏因终端缺少自动化/屏幕录制权限不可用，不影响测量。记录与事件日志。R58 完成，TODO 部分设备挂载小节清空。

需求更新后仍剩的差距

主体完成，见待办。 共享冲突/历史、退休宽限期与 GC、存放点正文、设备配对/撤销/恢复轮换、流式 SDK 和明文导出取得上述分阶段证据；独立审查所列问题的逐项修复与证据见上节，剩余工作见 TODO.md。尚未完成 WebDAV 存放点、移动端、子树授权、multipart 权限证明，以及没有独立已有成员时的恢复设备管理。百万文件/100GB 长期规模、真实公网/云账号尚未验收；本机回环 Partial 挂载、断网与 Finder 浏览结果见 IV.3–IV.6。

历史源码阶段的证据

以下记录保留当时结果和行为，涉及的旧格式、旧命令与默认按需正文均是历史背景，不能解释为当前功能声明。

2026-10-09 完整索引、按需正文与本机版本保护

按已确认需求实现格式 5：共享当前索引与正文获取分开，默认不上传或读取正文；Directory、S3 与双向 P2P 正文来源独立持有，按读取范围获取并认证内容。修改、删除与接收变更保留本机旧正文；本机历史、垃圾箱和冲突共用加密保留机制，未发布修改及并发失去当前地位的本机正文排除自动清理。恢复发布新修改，清理不改变共享索引、其他节点或活动读取。CLI 提供本机保留/清理与恢复；Web P2P 会话保留正文来源，HTTP Range 可按需播放，注销关闭来源与读取权限。密码封装和密码方案未改变。

结构化结果及源码校验和、各阶段原始结果摘要保留在仓库。摘要保留早期旧夹具失败与最终复验结果；表中同组测试不重复累计。引用复制只发布已认证内容引用，不保证正文当时在本机可读；正文缺失在读取时明确失败，被覆盖目标的旧正文仍受本机历史保护。

构建、依赖、测试和格式工具均在容器内运行，源码在构建时只读挂载。复用已运行的 Colima 与项目缓存卷；为现有 2GiB VM 限制构建并行和链接内存，仅整理本次验证缓存，未安装宿主依赖或改变 VM 配置，结束时保留原运行状态。内核挂载和测试数据仅位于所属隔离容器；验证容器均使用 --rm。

本次未重新执行 macOS 原生挂载、语言绑定运行时、前端构建/真实浏览器交互、真实云账号或互联网 NAT/relay。2026-10-08 的 macOS 证据属于格式 4 基线，不能证明这次格式 5 改动。项目仍未发布，不提供旧开发格式迁移；需求文档位于网站内容目录，尚未部署网站。

2026-10-10 Rust 应用对象接口与后台同步

新增 cipherfs_sync::SyncedVault：应用启用同步后使用异步 put/get/get_range/delete/list，只传路径、字节和读取范围，不持有文件指针、游标或句柄。业务写入先本机加密持久化，后台自动交换索引、重连和退避重试；默认正文按需获取。接口也覆盖本机版本读取、恢复、清理和独立保留策略。Rust 接入文档及可运行双实例示例已替换过时入口。

本机私有缓存不再提前确认版本已同步；确认只覆盖真实对端已认证提交头中的精确记录，后续本机写入保持保护。正文连接先于索引可见准备，同一连接使用有界并发及独立正文配额，避免读取与同步确认相互等待。取消写入仍通知后台；关闭等待阻塞操作及异步请求释放捕获，已关闭的 facade 克隆不阻止同路径重新打开。

Sync 完整串行回归 190 单元 + 53 集成 + 9 文档，共 252 通过，含实际最大 16MiB 单元。随后补充异步请求退出屏障，最终源码的 Iroh/P2P 29、SDK 单元 2、SDK 集成 7 项再次通过；不重复累计，也不把完整组当作最后窄修后的单命令结果。工作区全目标全功能、Sync 无默认功能全目标检查、格式检查通过；双实例直接 QUIC 示例实际跑通。具体命令、阶段失败/修正及最终源码指纹见本轮证据。

构建、依赖、测试与格式工具均在所属容器内运行，未安装宿主依赖或改变 Colima 配置，仅清理本任务生成的缓存执行文件。本轮没有验证两台物理服务器、公网 NAT/中继、长期压力或很长提交链的确认性能；完整历史交换和确认仍扫描元数据。put/get 缓冲完整对象，不能承诺内存与对象大小无关。其他平台、UI 和语言绑定沿用此前分阶段证据。

2026-10-10 审查修正

对照需求审查核心、同步、测试与文档后修正：

• 移动、重命名以及接收端的同变更移动不再把旧路径放入本机历史和垃圾箱。
• 接收重复、延后或失去当前地位的变更时，捕获的快照若内容仍是当前版本即丢弃，且不写清除标记，后续真正替换仍会保留。对已提交的变更直接跳过捕获；重新捕获当前版本会刷新保留时间，因此重复同步不会让版本提前按时间过期。
• 检查点 reset/rebase 不再把未变化的当前文件重复记入历史，避免它们挤掉真实历史的空间预算。
• 截断与 O_TRUNC 不再获取将被丢弃的远端单元，离线也能截断仅有索引的文件；本机已有单元仍校验，部分保留的单元仍需正文。
• 最后一个公开 Vault 句柄释放前，先停止并等待维护线程，修复启用自动清理后 drop 再立即打开时偶发的数据库占用。
• 保留策略预取移出同步引擎的临界区。核心 prefetch_retained_content 跳过已完整缓存的文件，逐文件记录失败；P2P 在交换后或响应后于后台执行。单个损坏或不可用文件不再阻止全部同步。
• 删除与需求冲突的旧 sync_types（向量时钟、冲突副本），以及未编译的根 examples/、main.rs.bak 和全部编译警告。
• 文档：删除与当前实现矛盾的旧页面（evaluation、optimization、version-control、旧 sync/storage/security/cli/user-guide 与绑定说明），首页、架构、API、开发索引改为简短准确版本，README 只描述当前行为，本记录移除 10-04 至 10-08 的分阶段叙述。

新增回归测试：index_on_demand 中的移动不入垃圾箱、仅索引截断、检查点不重复历史、延后变更不抑制历史；local_versions 的重新捕获刷新保留时间。旧测试中断言“缺失单元必须使截断失败”与“重复导入保留当前值”的部分按新语义更新。

最终源码以 tools/test-container.sh 在新建、源码只读的容器中完整执行：58 组测试共 1044 通过、0 失败、2 忽略（FUSE 真实挂载夹具需显式设备权限），FUSE/CLI feature 矩阵与工作区全功能检查、C/Python/Go 绑定、前端构建和真实 Web 冒烟均通过，退出码 0。其中 Core 376 单元，Sync 全功能 143 单元 + 45 集成 + 9 文档（删除旧 sync_types 后单元数减少）。此后只为精简功能组合补充 cfg 标注、为新测试加 storage 条件，Core/Sync 无默认功能与全功能、FUSE/CLI 无默认功能及工作区全功能编译复查通过，受影响测试定向复验通过；工作区全功能无编译警告，精简功能组合仍有既有的死代码警告。

前四轮完整执行暴露的问题均已修正后重跑：新单元测试构造错误、旧测试对截断与重复导入的旧语义断言、服务端后台预取的测试等待，以及延后变更丢弃快照时写入清除标记导致之后真正替换不再保留历史（取决于导出顺序，已用确定性测试覆盖）。开发容器磁盘写满导致一次 No space left 失败，清理增量缓存后复验通过。

构建与测试只在 Colima 的容器内运行。为容纳工作区编译，Colima default VM 临时从 2 CPU/2GiB 调整为 8 CPU/16GiB，结束后恢复原配置；开发容器 74GB 的 debug 增量缓存已清理。宿主机未安装依赖。未重新执行 macOS 原生挂载、真实浏览器交互、真实云账号或公网 NAT/中继。

2026-10-10 macOS 宿主机验证与清理

首次在 macOS 宿主机（arm64，已有 Rust 1.99）上运行工作区测试，暴露并修正：

• 目录对象库和 P2P 私有对象库逐级以 O_NOFOLLOW 打开根路径，遇到 macOS 的系统符号链接 /tmp、/var 即失败，导致这些路径下的库无法同步。两处改用共享的 anchored_path：只跟随文件系统根目录下 root 拥有的符号链接，其他位置的链接（包括 root 自己创建的）仍拒绝。
• Darwin 上多个进程并发以非独占 O_CREAT 创建同名锁文件时会偶发 ENOENT。提交头锁和 CLI 挂载登记锁改为有限次重试。
• S3 测试夹具在 BSD 上接受的连接继承监听端的非阻塞模式，已显式恢复阻塞。
• 对端连接关闭后，其内容源在下一次读取前移除，不再在失败的交换后累积。传输错误本来就映射为正文不可用，因此此前不影响读取结果。

删除未接入或无法编译的代码：恢复码模块（只取 BIP39 种子前 32 字节，与实际密钥派生无关）及 bip39/pbkdf2/lz4 依赖、根 benches/ 与 bench.sh、孤立的 CLI remote_config.rs、Sync 中未被使用的 bandwidth/block_sync/discovery/hybrid_discovery、IrohNode 旧分片接口、S3Sync 拒绝式复制入口及其底层 list/head/delete 辅助函数，以及随之不再使用的依赖（mdns-sd、hostname、hmac、chrono、redb、anyhow、bincode、futures、iroh-net）。精简功能组合的死代码警告已消除，格式统一。

宿主机结果：工作区（除需宿主 Python 头文件的 cipherfs-python）50 组 882 通过、0 失败、6 忽略。此后删除死代码，再跑 Sync 全功能、CLI（iroh-p2p/s3/tui）与 Core 单元，全部通过；CLI 真实 P2P 用例在整组并发负载下有一次因宿主多网卡（含 Colima 网桥）的 Iroh 路径重置而连接失败，单独重跑两次均通过，属于宿主网络环境的不稳定。修正前的 HEAD 上同一用例在更早一步就因 /var 符号链接失败。新增测试：anchored_path 的用户符号链接拒绝与 macOS /tmp 跟随、CAS 关闭源移除；independent_directory_writers_have_exactly_one_head_cas_winner 在 macOS 上由失败变为稳定通过。

最终源码以 tools/test-container.sh 在新建、源码只读的容器中完整执行：58 组测试共 886 通过、0 失败、2 忽略（FUSE 真实挂载夹具），无编译警告；FUSE/CLI feature 矩阵、C/Python/Go 绑定、前端构建和真实 Web 冒烟通过，退出码 0。总数较上轮 1044 减少，主要是删除了旧 block_sync 等模块及其测试。第一次容器执行发现容器以 root 运行时，测试自建的 root 所有链接会被当成系统链接跟随，因此规则收窄为只跟随根目录下的链接后重跑。Colima default VM 为此临时调整为 8 CPU/16GiB，结束后恢复为 2 CPU/2GiB。

2026-10-10 Web 后台同步、恢复密钥与 clippy 清理

• clippy：clippy.toml 允许测试代码 unwrap/expect/panic，集成测试入口同样放行；生产代码剩余的 unwrap/expect 改为显式处理，C/Go ABI 在模块文档中统一说明安全约定。工作区各 feature 组合 clippy 零警告。顺带修正 cipherfs find：此前未转义正则元字符且按整条路径子串匹配，*.pdf 会命中 a.pdf.txt，file(1).txt 无法匹配；现按文件名整体匹配通配符。
• Web 后台同步：每个会话只绑定一个 BackgroundSync 节点，同时服务对端、运行已保存对端的循环并执行手动 P2P 同步。对端路由经核心加密存于本机（local_sync_peers，与本机内容策略同表、不进入共享索引），解锁后自动恢复，锁定、退出、改密码即停止；成功的写请求立即唤醒对端。保存路由在 vault 槽锁内读写，避免额外句柄让退出后的数据库仍被占用（测试中复现过随后登录失败）。以中继地址添加对端而当前节点仅直连时重新绑定节点。BackgroundSync 新增 remove_peer、synchronize 和 node_id。修正前端读取节点地址的字段不一致和能力列表缺少 P2P；容器验证与运行入口此前未以 iroh-p2p 构建 Web，原有 Web P2P 测试从未执行，现已启用。
• 恢复密钥：Vault::create_with_recovery_key 生成 256 位随机恢复密钥，以 BLAKE3 派生的密钥 XChaCha20-Poly1305 封装主密钥，封装附带以主密钥派生密钥计算的 MAC。bootstrap 在有恢复封装时使用带魔数的 v2 格式，旧格式仍可读；以密码加入时用解锁所得主密钥校验 MAC，拒绝拼接自其他库的封装。新增凭恢复密钥加入（自设本机密码）、重设忘记的本机密码、为旧库生成一次恢复密钥；不支持替换已有恢复密钥，因为其他客户端和旧 bootstrap 仍会接受旧密钥。CLI 新增 reset-password、set-up-recovery-key 与 create-replica --recovery-key，init 显示一次恢复密钥；Web 在新建时显示，登录页可凭恢复密钥重设密码，设置页可为旧库生成。

验证：宿主机 clippy（各 feature 组合）零警告，Core、Sync 全功能、Web（sync/s3/iroh-p2p）及新增 CLI 用例通过。最终源码以 tools/test-container.sh 在只读源码容器中完整执行：60 组测试共 898 通过、0 失败、2 忽略（FUSE 真实挂载夹具），前端客户端测试 7 项通过，C/Python/Go 绑定、前端构建与真实 Web 冒烟通过，退出码 0。Colima default VM 临时调整为 8 CPU/16GiB，结束后恢复为 2 CPU/2GiB。

2026-10-10 CLI 空壳命令、绑定恢复密钥与 P2P 测试稳定性

• CLI 删除从未接入、只会报“尚未接入”的命令和参数：remote、daemon、snapshot、pool、lock、maintenance start/stop、maintenance check --repair 以及 open 的尾随命令。它们出现在 --help 中却没有实现；现在解析即失败。按编译 feature 缺失给出提示的 sync p2p/s3、mount、read --peer 保留。Web 的 501 接口在 README 中有说明并由冒烟测试检查，保持不变。
• C/Go/Python 绑定新增恢复密钥：生成一次（已有则 AlreadyExists）、查询是否存在、凭恢复密钥重设本机密码并打开仓库。绑定只管理本机仓库，不提供副本加入。C 与 Go 测试在宿主机已有工具链上通过（Go 缓存放在临时目录，不拉取工具链）。
• CLI 真实 P2P 用例此前在宿主机整组运行时偶发失败：服务端发布所有网卡地址（含 VPN、容器网桥），负载下 Iroh 路径切换导致连接重置。测试改为保留节点身份、仅经 IPv4 回环拨号；仍是真实 QUIC 交换。宿主机完整 CLI 套件（93 个覆盖用例）随后通过。

验证：宿主机 clippy 零警告、完整 CLI 套件通过；C 与 Go 绑定测试在宿主机通过。容器完整执行：60 组测试共 899 通过、0 失败、2 忽略（FUSE 真实挂载夹具），Python 运行时 10 项、C/Go 绑定、前端客户端 7 项、前端构建与真实 Web 冒烟通过，退出码 0。该次运行在全功能编译下报出删除空壳命令后无人调用的 unsupported 辅助函数；随后按 feature 收窄其编译条件，并在容器中复查 CLI 全功能与无默认功能构建无警告。Colima 临时调整为 8 CPU/16GiB，结束后恢复为 2 CPU/2GiB。

仓库中的源文件