MemRelay/projects/25464650-ed5d-440e-b362-190f2852d451/Checkpoint 2026-09-30 02-29-00 UTC [a358773621].md

title, type, permalink, stable_id, scope, memory_type, project_id, usage_profile_id, status, revision, request_id, created_at, updated_at, tags

title	type	permalink	stable_id	scope	memory_type	project_id	usage_profile_id	status	revision	request_id	created_at	updated_at	tags
Checkpoint 2026-09-30 02:29:00 UTC [a358773621]	checkpoint	main/projects/25464650-ed5d-440e-b362-190f2852d451/checkpoint-2026-09-30-02-29-00-utc-a358773621	ee053018-4631-4cdf-bc20-16daa3f0c1a8	project	checkpoint	25464650-ed5d-440e-b362-190f2852d451	0c9feb46-d06e-43cd-9ef0-c5813c84a998	active	1	nixmsg-review-issues-ready-20260930-1025	2026-09-30T02:29:00.716731+00:00	2026-09-30T02:29:00.716731+00:00	review-issues-ready

只读审查完成 · Gitea Issues 待负责人审核

范围

• 工作目录 e:\\code\\NixMsg，origin https://git.asio.asia/nixevol/NixMsg.git
• 审查 tip：479a08ee11296457c24b421cb9ff94cce19f768f（test: 补齐短时间可测验收并修复建群下行卡住）
• 工作树：审查前后 git status --porcelain 均为空，无任何审查引起的代码/文档/配置改动
• 已读：PRD、DEVELOPMENT、DEVIATIONS、TASKS、OPS、RELEASE、ACCEPTANCE；关键路径 cmd/nixmsg、internal/protocol|store|auth|listener|broker|httpx、app/message|identity|group|presence、admin、web、sdk、deploy、test

Gitea 已建 issues（建前 /issues?state=all 为空，无重复）

账号库两条 git.asio.asia 登录密码条目重复；无独立 Gitea PAT。用 Basic 调 API。本体中文正确。

1. #1 high 管理员登录 IP 锁定会阻断已认证的 Cookie 会话和 API 令牌
   • internal/admin/auth.go 46–50、131–133 vs D18/F02 / DEVELOPMENT 8
2. #2 medium 自助注册未接入 trusted_proxies，安全码锁定按直连/代理 IP 计
   • serve.go identity.New 未设 ClientIP；register.go RemoteAddr；I1.4 交付欠账
3. #3 medium 上行 worker 同步 PublishDown 与 mochi InlineClient 会死锁，20ms 只绕过 group_event
   • group/app.go emit 659–685；void.go publishRevokes 仍同步；DEVIATIONS Q accept-rest 第 4 条死锁根因仍在
4. #4 medium 停用/删除/重置密码不发 fatal，identity 未注入 Downlink 导致 revoked 丢失
   • serve.go KickEndpoint=sess.Kick；identity 无 Downlink；session.go fatalKick 未用
5. #5 medium /metrics 已开放但连接数、待投递等指标从未打点
   • F22 / DEVELOPMENT 4.3 / P4 仅门禁
6. #6 medium 解散群时 scheduled 消息的消息级回执 state 写成 completed，违反协议枚举
   • group/void.go 141–147 vs 6.4 rejected；I5.2 已指出 I4 旧写法

看过但不建 issue（故意设计 / 已处理 / 误报 / 流程项）

• mochi CodeSuccessIgnore / InlineClient 放行
• websocket InsecureSkipVerify + 子协议 mqtt
• modernc sqlite _pragma
• 群发离线无 keep 为 dropped/completed
• session 0x8E 顶号
• nst_ session vs 密码锁
• harness 清 SetDeadline
• 群 emit 异步+20ms：作为「已处理工作绕过」不重建工作项；死锁根因已单独建 #3
• 管理员自定义群 id、回执窗口、空名 self.update、无独立审计日志页：文档已写或非缺陷
• 后台列表第 2 页：后端 offset 与前端一致，非缺陷
• 备份 VACUUM INTO，不需 wal_checkpoint 强制
• MQTT 优雅断开 P1 文档未完成接线，不当新缺陷
• SDK 未 npm/PyPI/Maven 发布：发布流程，非代码缺陷
• CSRF X-Nixmsg-Request、管理 trusted_proxies 已接好

给下个会话

• 负责人先审核 6 条 issues，再决定是否改代码；不要顺手修直到审核完
• 勿强推 main；feat 远端分支仍在
• 临时脚本写在 %TEMP%已删除 python 文件；未动仓库
• PowerShell 命令行过长会 命令太长；Gitea 建 issue 用 TEMP UTF-8 JSON + Python urllib
• 坑：密码库 git.asio.asia 是登录密码不是 PAT；控制台 GBK 会乱码中文标题，以 API JSON 为准