fix: 建群事务内复核创建者避免停用竞态留下非法群主

2026-09-30 19:18:48 +08:00
parent 9c6de00ea0
commit f936a6b312
3 changed files with 119 additions and 0 deletions
@@ -1767,3 +1767,13 @@ issue #3 未关闭，`feat/fix-3-downlink-deadlock` 未合入 `main`。下面是
   - 原因：原先抛错后工作线程仍按退避重连；Java 限速把在途计数减了两次。  
   - 备选方案：在后台 `_attempt_connect`/`attemptConnect` 内首次失败即停（否决：应用再次 `connect()` 才应恢复，标志应在对外 `connect` 失败路径统一置位）。  
   - 影响：仅 `sdk/python`、`sdk/java`；应用需再次调用 `connect()` 才会重连。
+
+### 复审修复 R3-07
+
+1. **客户端建群事务内复核创建者**  
+   - 日期：2026-09-30  
+   - 原条款：Gitea #71。`group.Create` 在 `Queue.Do` 里直接 `insertMemberTx` 群主，不跑 `endpointCheckTx`；停用/删除与建群抢在事务外对话密码窗口时，可插入已停用甚至刚删除的 `owner_id`。  
+   - 实际做法：`Create` 同一写事务里，插入群与群主成员之前对 `actorID` 做与 `createAdmin` 相同的 `endpointCheckTx`；已停用 `endpoint_disabled`，不存在 `invalid_target`，且不插入群。不改 `emit`、不改迁移编号。  
+   - 原因：成员侧已有事务内复核，群主侧缺对称校验，竞态会留下非法群主。  
+   - 备选方案：事务外再查一次创建者（否决，无法覆盖密码窗口与写事务之间的竞态）。  
+   - 影响：创建者在进入写事务前被停用/删除时建群失败且无新群行；与后台建群错误码对齐。