fix: prepare writable codex home for runner jobs

2026-05-29 13:27:11 +08:00
parent 25e017ba67
commit da50a34eef
9 changed files with 96 additions and 16 deletions
@@ -42,6 +42,7 @@
 - 真实 Argo CD Application `agentrun-g14-v01` 同步到 `agentrun-v01`。
 - 真实 `agentrun-v01-postgres` StatefulSet、PVC、Service 和 migration ledger。
 - 真实 Kubernetes SecretRef 注入 Postgres DSN 和 Code Agent provider credential；Codex 测试凭据必须来自 `~/.codex/auth.json` 与 `~/.codex/config.toml` 的 Kubernetes Secret projection。
+- Codex Secret projection 必须先保持只读，再复制到 writable `CODEX_HOME` 后启动 app-server；综合联调不得把只读 Secret volume 直接当作 `CODEX_HOME` 的通过证据。
 - 真实 `agentrun-mgr`、runner Job 或受控 runner process、真实 backend adapter。
 - 至少一个真实 Code Agent provider turn；Codex backend 必须通过 `codex app-server --listen stdio://` 的 JSON-RPC stdio turn 完成，mock、fixture、source-only、dry-run、fake provider、直接 Responses HTTP 或 `codex exec` 一次性输出不能作为通过证据。如果 provider credential SecretRef 缺失，综合联调必须标记 blocked，不能降级为 mock pass。