fix: make Codex bootstrap release CI deterministic

Author: codex

.github/workflows/codex-bootstrap-release.yml

@@ -25,6 +25,14 @@ jobs:
         with:
           python-version: '3.9'
 
+      - name: Install ACL support required by Linux permission-contract tests
+        run: |
+          set -Eeuo pipefail
+          if ! command -v getfacl >/dev/null 2>&1; then
+            sudo apt-get update -qq
+            sudo apt-get install --no-install-recommends --yes acl
+          fi
+
       - name: Use pinned application Node line
         uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
         with:
@@ -157,6 +165,14 @@ jobs:
         with:
           python-version: ${{ matrix.python-version }}
 
+      - name: Install ACL support required by Linux permission-contract tests
+        run: |
+          set -Eeuo pipefail
+          if ! command -v getfacl >/dev/null 2>&1; then
+            sudo apt-get update -qq
+            sudo apt-get install --no-install-recommends --yes acl
+          fi
+
       - name: Validate router and complete bootstrap suite
         run: |
           set -Eeuo pipefail
@@ -178,6 +194,14 @@ jobs:
         with:
           python-version: '3.9'
 
+      - name: Install ACL support required by Linux permission-contract tests
+        run: |
+          set -Eeuo pipefail
+          if ! command -v getfacl >/dev/null 2>&1; then
+            sudo apt-get update -qq
+            sudo apt-get install --no-install-recommends --yes acl
+          fi
+
       - name: Verify native arm64 release identity
         env:
           RELEASE_TAG: ${{ github.ref_name }}

bootstrap/codex/README.zh-CN.md

@@ -69,7 +69,7 @@
 
 必须以最终实际运行 Codex 的非 root Unix 用户执行本方案；管理员应先 `sudo -iu <USER>`，再 clone 和安装。`--home` 只用于同一用户的隔离测试，不是跨用户 provision 开关；安装器会拒绝 root、owner 不匹配、受保护系统目录后代和隐式符号链接写穿。`$CODEX_HOME` 必须是 `$HOME` 内的专用目录；新建权限为 `0700`，已有目录及其自 HOME 起的现存祖先不得由其他主体替换或写入。唯一例外是上一表所述、经过 POSIX ACL 完整验证的 root-owned Delta HOME；例外不会向 HOME 以下受管目录传播。
 
-生产部署必须由维护者批准一个 immutable Git tag 或完整 commit SHA。当前 manifest 固定到 `codex-bootstrap-v0.2.2`；`audited_base_commit` 只是编写本方案时检查的起始树，不是可部署 revision。实际安装还必须把该 annotated tag 与 release provenance 中的完整 commit SHA 绑定；不要部署 moving branch，也不要移动既有 tag。
+生产部署必须由维护者批准一个 immutable Git tag 或完整 commit SHA。当前 manifest 固定到 `codex-bootstrap-v0.2.3`；`audited_base_commit` 只是编写本方案时检查的起始树，不是可部署 revision。实际安装还必须把该 annotated tag 与 release provenance 中的完整 commit SHA 绑定；不要部署 moving branch，也不要移动既有 tag。
 
 ## 四、NCSA Delta：先建立交互连接
 
@@ -150,7 +150,7 @@ bash bootstrap/codex/remote-install.sh --help
 在 release tag 所在的 clean checkout 上生成一个新的、不可覆盖的目录：
 
 ```bash
-release_tag=codex-bootstrap-v0.2.2
+release_tag=codex-bootstrap-v0.2.3
 release_commit=$(git rev-parse "${release_tag}^{commit}")
 kit_parent="$PWD/../drclaw-release-output-private"
 (umask 077; mkdir "$kit_parent")
@@ -172,7 +172,7 @@ builder 只接受与 manifest、HEAD 和完整 SHA 一致的 annotated tag；拒
 完整搬运该目录到新服务器后，只需一条离线命令，不必先从 bundle 手动提取脚本：
 
 ```bash
-bash /path/to/drclaw-codex-bootstrap-v0.2.2-offline/install.sh --full
+bash /path/to/drclaw-codex-bootstrap-v0.2.3-offline/install.sh --full
 ```
 
 wrapper 会先拒绝目录中的任何额外 entry、symlink、缺失文件、owner/mode 异常或 checksum inventory 漂移，并验证每个 payload，再把同目录 bundle 交给现有远程安装器；tag object 与 peeled commit 两个身份也同时固定。Git bundle 为了保留发布身份与 commit 原始 SHA 必须携带其可达 Git 历史，因此 builder 会扫描**全部可达历史路径，以及所有可达 blob、commit 和 tag payload**，而不只检查当前 tree；允许的 community gitlink 只记录路径与 object ID，bundle/archive 都不携带其仓库内容。内部 checksum 可证明搬运完整性；抵抗“payload 与 checksum 同时被替换”仍需通过独立可信渠道保存并核对 provenance sidecar 的 SHA256。

bootstrap/codex/STATUS-2026-08-19.zh-CN.md

@@ -1,10 +1,29 @@
 # Dr. Claw Codex 可移植部署 v0.2：暂停状态与完整交接
 
 初始记录：2026-08-19（America/Chicago）
-最近续作：2026-08-20（America/Chicago）
-状态：**非 GitHub 范围内的工作已经完成并完成 final-tag 验收。最终本地 release 是 `codex-bootstrap-v0.2.2`；GitHub push、Release、Actions、ARM runner 和保护规则按用户要求不处理。**
+最近续作：2026-08-25（America/New_York）
+状态：**v0.2.2 的本地验收和 tag 保持不变。为完成 GitHub 发布闭环，当前候选是新的、不可变的 `codex-bootstrap-v0.2.3`；尚未创建或推送该 tag，也尚未宣称 GitHub Actions/Release 已完成。**
 
-这份文件记录本轮工作的真实边界：已经做了什么、验证到了哪里、哪些方案被拒绝、现在还有哪些问题、恢复时应从哪里继续。第八节以前保留 2026-08-19 的历史暂停证据；本节以下的 2026-08-20 更新优先于其中已经解决的旧问题。它不替代正式使用文档 [`README.zh-CN.md`](README.zh-CN.md) 和应用安装文档 [`APP_INSTALL.zh-CN.md`](APP_INSTALL.zh-CN.md)。
+这份文件记录本轮工作的真实边界：已经做了什么、验证到了哪里、哪些方案被拒绝、现在还有哪些问题、恢复时应从哪里继续。第八节以前保留 2026-08-19 的历史暂停证据；本节以下的 2026-08-20 与 2026-08-25 更新优先于其中已经解决的旧问题。它不替代正式使用文档 [`README.zh-CN.md`](README.zh-CN.md) 和应用安装文档 [`APP_INSTALL.zh-CN.md`](APP_INSTALL.zh-CN.md)。
+
+## 0. 2026-08-25 GitHub 发布续作（以本节为准）
+
+恢复工作后先完整下载了 Delta 中的版本化项目，并在本地重新核验了以下事实：
+
+- `codex-bootstrap-v0.2.2`、其 tag object 和所有历史 tag 均保持原样；本次绝不移动、删除或重用已有 tag；
+- 172 个 filesystem skill、catalog 和 frontmatter 重新验证为一致；v0.2.2 release-kit builder 在干净的原生 Linux 临时 clone 中再次生成并通过 bundle/provenance/checksum 验证；
+- 项目中没有可迁移的 Codex conversation/session/auth archive。唯一有效的工作记录是本状态文件、版本化文档和 Git 提交历史；所有 auth、session、token、cache 与本地 Codex turn-diff refs 均不属于发布输入。
+
+在将 tag 交给 GitHub Actions 前，发现并修复了一项**测试环境**闭环：`verify_live_delta_identity()` 正确拒绝一个不存在的 `/usr/bin/scontrol`，但其单测曾在没有 Slurm 的 generic CI host 上模拟该不存在路径，因而会被正确的 executable trust gate 拒绝。测试现在以真实 root-owned executable 模拟已验证的 command path；生产端的 Delta 身份检查没有放宽。release workflow 同时在三个 Linux validation job 中显式安装 `acl`，确保 ACL 安全合同的测试不依赖 runner 的偶然预装状态。Python 由 `actions/setup-python` 提供，避免使用系统 Python 缺少 `ensurepip` 的情况。
+
+因此发布候选将 manifest/app bundle version 与 immutable release ref 前移到 `0.2.3`。在创建 annotated `codex-bootstrap-v0.2.3` 前，仍必须完成：干净源码测试、最终 release kit、隔离 fresh/latest-Codex 合同和 source 的 GitHub push；tag 推送后还必须等待 x86_64、Python matrix 与 native ARM64 workflow 绿灯，才允许 workflow publish job 创建 GitHub Release。若任一项失败，保留 v0.2.3 tag 不动，修复后创建更高的新 tag。
+
+### 0.1 2026-08-25 最新官方 Codex 无人值守合同
+
+- 重新读取当前官方 `https://chatgpt.com/codex/install.sh`，确认其文档化的 `CODEX_NON_INTERACTIVE` 会映射到内部 `NON_INTERACTIVE`，并跳过包括 `Start Codex now?` 在内的 `/dev/tty` 提示。
+- `bootstrap.py` 现在只为官方安装器这个短生命周期子进程固定设置 `CODEX_NON_INTERACTIVE=1`。它仍从白名单构造 secret-free 环境；不继承操作员的 `CODEX_NON_INTERACTIVE` 或 `NON_INTERACTIVE` 值，也不把该值写入 config、receipt 或日志。回归测试用操作员环境中的冲突值验证此行为，同时继续验证 API key、GitHub token、SSH agent 等不会传给子进程。
+- 在全新、mode `700` 的 disposable `/tmp` HOME/CODEX_HOME 中，`CODEX_RELEASE=latest` 的真实安装已完成，官方当前版本为 `Codex CLI 0.149.1`。安装器没有停在启动确认；随后 `bootstrap.py doctor --require-clean-native-skills --json` 返回 `ok: true`，并通过 safe config、全局 AGENTS、managed skill discovery、plugin JSON 和 Codex compatibility 合同。该实验没有登录、没有 auth/token/session，也没有读取真实 HOME 或 Delta project。
+- 本机原生 WSL 的完整 Python suite 运行了 184 项，结果为 `3 failures, 1 error`，且均是本机系统前置条件而非新改动：系统 Python 缺 `ensurepip`（两个 Dr. Claw CLI preflight 断言受此影响），并且没有 `/usr/bin/getfacl`（两个 root-owned Delta ACL 合同受此影响）。release workflow 使用 `actions/setup-python` 并在三个 Linux validation job 显式安装 `acl`；仍须以 GitHub matrix/ARM 绿灯作为最终发布证据，不能把本机这个受限结果写成全绿。
 
 ## 0. 2026-08-20 续作更新（以本节为准）
 
@@ -59,7 +78,7 @@
 - skill runtime inventory：24 个 skill 仍含 Claude-specific 提示、33 个提到 MCP，source installed/discoverable 不等于外部 provider/credential 已激活；
 - isolated app service 使用 `service=none`，因此 doctor 正确提示需要在真实 login HOME 下由批准的 supervisor 启动。
 
-当前分支在 final tag 之后只会保留本验收记录的文档提交；它不改变 v0.2.2 tag、offline kit、manifest 或任何可部署代码。未来恢复 GitHub 时应只推送 final source commit/tag 和这个审计文档，绝不移动 v0.2.0、v0.2.1 或 v0.2.2 tags。
+`v0.2.2` 是完整的历史验收基线；为修复 GitHub CI 的模拟与确定性前置条件，本次会从干净源码创建新的 `v0.2.3` release。绝不移动、删除或复用 `v0.1.0`、`v0.2.0`、`v0.2.1` 或 `v0.2.2` tags；未来只可继续创建更高的新 tag。
 
 ## 一、暂停时的准确结论
 

bootstrap/codex/app-manifest.json

@@ -1,6 +1,6 @@
 {
   "schema_version": 1,
-  "bundle_version": "0.2.2",
+  "bundle_version": "0.2.3",
   "application": {
     "name": "Dr. Claw Web",
     "package_name": "dr-claw",

bootstrap/codex/bootstrap.py

@@ -2675,16 +2675,21 @@ def install_codex(self) -> None:
             if not payload.startswith(b"#!"):
                 raise BootstrapError("Downloaded Codex installer did not look like a shell script.")
             installer_path.write_bytes(payload)
+            installer_environment = portable_codex_env(
+                self.user_home,
+                self.codex_home,
+                self.target_env,
+                include_release=True,
+            )
+            # The official installer prompts through /dev/tty.  Force its documented
+            # non-interactive mode only for this child process so a one-command
+            # bootstrap cannot hang or persist an operator's prompt preference.
+            installer_environment["CODEX_NON_INTERACTIVE"] = "1"
             try:
                 subprocess.run(
                     ["bash", str(installer_path)],
                     check=True,
-                    env=portable_codex_env(
-                        self.user_home,
-                        self.codex_home,
-                        self.target_env,
-                        include_release=True,
-                    ),
+                    env=installer_environment,
                     cwd=str(self.repo_root),
                     timeout=CODEX_INSTALL_TIMEOUT_SECONDS,
                 )

bootstrap/codex/manifest.json

@@ -1,12 +1,12 @@
 {
   "schema_version": 1,
-  "bundle_version": "0.2.2",
+  "bundle_version": "0.2.3",
   "audited_at": "2026-08-19",
   "baseline": {
     "repository": "https://github.com/OpenLAIR/dr-claw.git",
     "audited_base_commit": "4b3575641b63f8e09a9539b23c2be4f45f5d0317",
-    "bundle_release_ref": "codex-bootstrap-v0.2.2",
-    "production_revision_policy": "Deploy the exact codex-bootstrap-v0.2.2 tag together with its full commit SHA from the signed-off release provenance. The audited_base_commit records the starting tree inspected while this bundle was authored; it is not the deployable bundle revision. Never deploy a moving branch as a reproducible baseline."
+    "bundle_release_ref": "codex-bootstrap-v0.2.3",
+    "production_revision_policy": "Deploy the exact codex-bootstrap-v0.2.3 tag together with its full commit SHA from the signed-off release provenance. The audited_base_commit records the starting tree inspected while this bundle was authored; it is not the deployable bundle revision. Never deploy a moving branch as a reproducible baseline."
   },
   "requirements": {
     "python": ">=3.9",

bootstrap/codex/tests/test_bootstrap.py

@@ -1279,9 +1279,11 @@ def test_v01_peer_metadata_lock_normalization_permits_only_managed_skill_migrati
                 "status_sha256": hashlib.sha256(b"").hexdigest(),
             },
         }
-        (self.codex_home / "drclaw-bootstrap-state.json").write_text(
-            json.dumps(state), encoding="utf-8"
-        )
+        state_path = self.codex_home / "drclaw-bootstrap-state.json"
+        state_path.write_text(json.dumps(state), encoding="utf-8")
+        # The production receipt is deliberately private.  Do not rely on the
+        # caller's umask when constructing this security-sensitive fixture.
+        state_path.chmod(0o600)
         legacy_bin = self.home / ".local" / "bin"
         legacy_bin.mkdir(parents=True, exist_ok=True)
         for name in module.DRCLAW_CLI_LAUNCHERS:
@@ -1985,6 +1987,13 @@ def test_skill_runtime_inventory_is_machine_readable_and_explicitly_non_activate
 
     def test_live_delta_identity_gate_and_generic_host_support_matrix(self) -> None:
         module = load_bootstrap_module()
+        # The production check deliberately verifies that ``scontrol`` resolves
+        # to a trusted executable before it runs it.  CI does not ship Slurm,
+        # so model the command with a real root-owned executable instead of a
+        # nonexistent /usr/bin/scontrol path that the production guard must
+        # reject.
+        trusted_executable = shutil.which("true")
+        self.assertIsNotNone(trusted_executable)
         delta_result = subprocess.CompletedProcess(
             ["scontrol", "show", "config"],
             0,
@@ -1993,7 +2002,7 @@ def test_live_delta_identity_gate_and_generic_host_support_matrix(self) -> None:
         )
         with mock.patch.object(module, "bounded_fqdn", return_value="dt-login04.delta.ncsa.illinois.edu"), mock.patch.object(
             module.platform, "machine", return_value="amd64"
-        ), mock.patch.object(module.shutil, "which", return_value="/usr/bin/scontrol"), mock.patch.object(
+        ), mock.patch.object(module.shutil, "which", return_value=trusted_executable), mock.patch.object(
             module.subprocess, "run", return_value=delta_result
         ):
             identity = module.verify_live_delta_identity(cwd=REPO_ROOT)
@@ -2196,6 +2205,8 @@ def test_codex_installer_and_plugin_commands_receive_no_operator_secrets(self) -
             "GH_TOKEN": secret_marker,
             "SSH_AUTH_SOCK": "/tmp/private-agent.sock",
             "CODEX_RELEASE": "0.147.0",
+            "CODEX_NON_INTERACTIVE": "false",
+            "NON_INTERACTIVE": "true",
             "HTTPS_PROXY": "https://proxy.example.invalid:8443",
             "NO_PROXY": "127.0.0.1,localhost",
             "DRCLAW_CA_BUNDLE": str(ca_bundle),
@@ -2222,6 +2233,8 @@ def installer_run(command, **kwargs):
         self.assertEqual(len(installer_environments), 1)
         installer_env = installer_environments[0]
         self.assertEqual(installer_env["CODEX_RELEASE"], "0.147.0")
+        self.assertEqual(installer_env["CODEX_NON_INTERACTIVE"], "1")
+        self.assertNotIn("NON_INTERACTIVE", installer_env)
         for key in ("REVIEW_FAKE_SECRET", "OPENAI_API_KEY", "GH_TOKEN", "SSH_AUTH_SOCK"):
             self.assertNotIn(key, installer_env)
         self.assertEqual(installer_env["HTTPS_PROXY"], operator_env["HTTPS_PROXY"])

bootstrap/codex/tests/test_install_app.py

@@ -361,7 +361,7 @@ def _complete_install(self, **overrides):
 
     def test_manifest_pins_official_node_artifacts(self):
         node = self.manifest["node"]
-        self.assertEqual(self.manifest["bundle_version"], "0.2.2")
+        self.assertEqual(self.manifest["bundle_version"], "0.2.3")
         self.assertEqual(
             self.manifest["runtime_receipt"],
             {"schema_version": 1, "filename": ".drclaw-node-runtime.json"},