codex-bot
8bbe78e01e
Verify databases and deploy Aster VM / verify-and-deploy (push) Successful in 13m40s
68 lines
6.2 KiB
Markdown
68 lines
6.2 KiB
Markdown
# 配置、UTF-8 与进程边界
|
||
|
||
## 当前选择
|
||
|
||
当前先明确少量稳定边界，不引入 PyPreConfig／PyConfig 式两阶段初始化，也不新增 VM 配置文件、环境变量前缀或配置框架。Vm::new 从空堆启动；需要环境、数据库或网络的是宿主。
|
||
|
||
| 配置层 | 当前入口 | 责任 |
|
||
| --- | --- | --- |
|
||
| 内核 | Vm::new、显式创建对象／函数；call_with_limits／execute_with_limits | 可预测的运行时语义，不读取环境变量、修改 locale、注册信号或加载 .env |
|
||
| 宿主 | StorageConfig::from_env、Server 启动代码 | 将环境变量转成存储配置和监听地址，再启动服务 |
|
||
| 部署 | Compose 与 ces-control 脚本 | 端口映射、数据库密码、持久卷和镜像版本 |
|
||
| 构建／CI | Cargo.toml、Cargo.lock、Dockerfile、工作流 | 工具链、依赖锁定与验证环境；不作为语言运行语义配置 |
|
||
|
||
内核不直接依赖 HTTP、SQLx 或操作系统 locale 接口。这个隔离来自现有代码与分层，不是已经实现的独立安全沙箱。
|
||
|
||
## 为什么不照搬 CPython 的 locale 初始化
|
||
|
||
CPython 的 PyPreConfig 支持选择分配器、UTF-8 模式以及是否配置 LC_CTYPE，以处理它自己的启动和兼容性需求。Python 官方也提供忽略环境、保留 LC_CTYPE、不注册信号处理的隔离初始化。当前 Endor 通过 Rust 宿主接收已构造的值，没有需要复刻这套预初始化的依赖环。[CPython 初始化文档](https://docs.python.org/3.14/c-api/init_config.html)。
|
||
|
||
LC_CTYPE 处理字符分类、大小写和多字节字符相关约定；小数点和数字分组属于 LC_NUMERIC。只调整 LC_CTYPE 不能直接等同于修改数字小数点，这两类配置应区分。[locale 类别说明](https://docs.python.org/3.14/library/locale.html#locale.LC_CTYPE)。
|
||
|
||
云原生环境仍会遇到进程变量、终端、文件路径与外部工具的问题；较少跨语言互操作不代表可以省略输入边界。当前解决方式是让核心语义独立于进程区域设置，把必要的解码留在宿主入口。
|
||
|
||
## 当前文本和数字行为
|
||
|
||
- Value::Text 与 EndorStringObject 使用 Rust String，内容始终是有效 UTF-8。字符访问按 Unicode 标量值，不按字节或字形簇；不支持孤立代理码点。[Rust String](https://doc.rust-lang.org/std/string/struct.String.html#utf-8)。
|
||
- Number 的整数与十进制构造器明确检查 ASCII 数字和语法；十进制点为句点，不根据 LANG／LC_NUMERIC 切换为逗号。当前数值比较、哈希和算术尚未实现。
|
||
- 内核没有 setlocale 调用；不会为了启动 VM 修改 LANG、LC_ALL 或 LC_CTYPE。外部库、终端、字体或下游工具自身的行为不在这项保证之内。
|
||
- 尚无源码加载器、标识符语法、通用字节串对象或文件系统 API，因此不能宣称已完成源码编码、路径编码和全部 I/O 策略。
|
||
|
||
## 已有宿主环境变量
|
||
|
||
| 名称 | 使用位置与默认值 | 错误和优先级 |
|
||
| --- | --- | --- |
|
||
| DATABASE_URL | StorageConfig；未设置时才选择 SQLite | 仅 postgres:// 或 postgresql://；显式空值、错误协议和非 Unicode 值报错；连接失败不降级 |
|
||
| SQLITE_PATH | 无 DATABASE_URL 时使用；默认 data/aster.db | 空值和非 Unicode 值报错；:memory: 为临时库；设置 DATABASE_URL 后忽略此项 |
|
||
| ASTER_LISTEN | Server；默认 127.0.0.1:8080 | 当前 var(...).unwrap_or_else：缺失或非 Unicode 都用默认值；有效 Unicode 的错误地址在绑定时失败 |
|
||
| ASTER_PORT | Compose 宿主端口映射 | 独立方案默认 8080，ces-control 默认 18081；不是 Vm 配置 |
|
||
| POSTGRES_PASSWORD | PostgreSQL Compose／生产环境文件 | Compose 必填；示例使用随机十六进制以避免 URL 转义歧义；不写入仓库 |
|
||
| ASTER_IMAGE | ces-control Compose | 必填已构建的版本镜像，通常由 release.env 提供 |
|
||
| ASTER_RELEASE_SHA | CI 与部署脚本 | 必须为 40 位小写十六进制提交 SHA；用于镜像和版本目录 |
|
||
| ASTER_TEST_POSTGRES_URL | 指定环境显式运行 PostgreSQL 集成测试 | 专用测试库 URL；不是生产数据库配置 |
|
||
|
||
程序本身不自动加载 .env，Cargo 运行时须显式导出变量。Compose 会按其规则读取 .env；显式 --env-file 的生产文件由部署脚本管理。模板见 [.env.example](../../.env.example)，执行链见 [部署](deployment.md)。
|
||
|
||
数据库 URL 可能包含密码；当前 StorageConfig 的 Debug 脱敏，公开数据库错误不回显 URL。底层错误 source 仍保留给宿主，不应不加处理地作为公开日志输出。
|
||
|
||
## 已有执行限额
|
||
|
||
ExecutionLimits 是每次调用显式传入的普通 Rust 值，不是进程全局开关；字段定义见 [frame.rs](../../crates/core/src/frame.rs)。
|
||
|
||
| 字段 | 默认值 | 作用 |
|
||
| --- | --- | --- |
|
||
| max_frames | 1000 | 本次执行允许的活动语言帧数量 |
|
||
| max_instructions | usize::MAX | 本次执行共享的逻辑指令预算；默认不设实用的有限预算 |
|
||
|
||
call_with_limits／execute_with_limits 使用自定义值；嵌套语言调用共用计数。预算不能抢占正在执行的 Native 回调，也没有超时、内存上限或异步取消能力；不能据此视为安全执行不可信代码的完整方案。
|
||
|
||
## 保留的入口缺口与以后再做的内容
|
||
|
||
CLI 当前使用 std::env::args，遇到非 Unicode 命令行参数可能 panic，并没有统一转换成友好的配置错误。[Rust args 文档](https://doc.rust-lang.org/std/env/fn.args.html#panics)。Server 的非 Unicode ASTER_LISTEN 也尚未像存储变量一样严格报错；宿主输入错误接口尚未统一。
|
||
|
||
以后增加宿主输入时，应明确使用 OsString／PathBuf 保留系统路径，或显式拒绝不符合文本协议的输入；不要通过修改整个进程 locale 让隐式解码暂时成功。未来源码文本默认 UTF-8、协议数字固定格式是设计方向，只有加载器实现后才能写成已实现行为。
|
||
|
||
现在不新增通用 VmConfig。出现构造期策略时再集中为实例级不可变配置；进程参数由宿主解析后传入，不让 Vm::new 自动读取一组隐含开关。时区、模块路径、凭据注入、内存配额和网络能力也按实际实现分别设计，不预设已存在。
|
||
|
||
返回 [运行指南](README.md) 或 [文档索引](../README.md)。
|