六、工程基础设施与资源隔离建设（Harness Engineering）

6.1 Git Worktree 安全管理与多维隔离矩阵

Git Worktree 仅实现了工作目录的物理分离，并非完全安全隔离的独立沙箱（底层仍共享部分 Git 引用、全局配置及系统级资源）。

1. Worktree 安全回收五步核验（严禁强制删除）

• [ ] 任务状态确认：任务已完成、已移交或已取消，所需成果已保存且不再依赖此工作目录；部署状态单独记录；
• [ ] 工作成果归档：所有工作分支与提交已安全推送到远端仓库，或完成本地快照备份；
• [ ] 工作区状态核查：确认无未提交修改（Dirty Files）、无未跟踪的关键代码资产；
• [ ] 需保留的 Git 忽略文件：核验并备份需要持久保留的本地调试配置（如 .env.local），严禁未授权上传；
• [ ] 关联进程安全退出：确认没有其他使用者，关联的开发服务器、调试会话与容器已退出；不得误停共享进程或删除其他任务的资源。

2. 并发资源隔离与配额

资源类别	隔离约束与分配规范
源码与构建	独立工作目录；冲突的 build / dist / target 目录物理隔离，受控复用安全的底层编译器缓存
网络与服务	分配互不重叠的端口段（BasePort + TaskOffset）；登记进程 PID 与所有者，严禁单纯按端口号盲目杀进程
数据与存储	优先分配独立临时数据库实例；采用 Schema 隔离时，必须确认权限系统与全局表未被跨任务污染
中间件隔离	仅在协议允许时为 Redis Key、Kafka Topic 与 Consumer Group 分配任务命名空间；固定协议名称须以独立实例或集群隔离，保持测试契约真实，严禁篡改生产环境协议定义
容器与计算	Docker Compose 项目名隔离（-p proj_task_123）；为单任务设置 CPU 核心数、内存和磁盘使用上限
迁移序列号	涉及数据库变更时，统一预留迁移版本号，防止并发分支合并时发生迁移拓扑冲突

6.2 门禁契约五要素与结构化验证记录

每个仓库应在 AGENTS.md 或团队指定的规范入口中登记质量门禁，或引用其唯一记录位置，并明确以下五要素：

门禁五要素契约：
{ 适用范围, 执行命令与执行者, 阻断位置, 结果证据形式, 已知盲区与非目标场景 }

核验依据：<需求编号 / SPEC 章节 / D-ID / 验收条目>
受测对象：<仓库名及完整 Commit SHA / 受测代码树 Hash>
输入摘要：<构建参数、API 契约、数据夹具、迁移基线与依赖版本 Hash>
执行时间：<包含时区偏移的时间戳，如 2026-10-13T12:00:00+08:00>
执行环境：<操作系统、运行时版本、依赖服务版本、执行身份类型、计算规格>
执行命令：<完整可复现的 CLI 启动入口>
退出状态：<退出码 Exit Code，未执行填 N/A>
统计摘要：<Passed / Failed / Skipped / Cancelled 精确统计数值>
最终结论：<PASS / FAIL / NOT_RUN / BLOCKED / NOT_APPLICABLE>
证据资产：<完整日志文件绝对路径、生成报告 URI、产物校验和>
内容一致性：<前后代码树 Hash 比对校验结果，确认无隐式篡改>
证明范围与已知盲区：<本门禁成功证明了什么；本门禁抓不到什么/未覆盖哪些场景>
异常处置记录：<若发生失败或例外，记录处置人、原因分析及后续闭环要求>

---