
**腾讯云社区技术复盘 · fibemate PQC 平台工程实践系列（二/三）**

在 fibemate 的密码学证据体系中，时间戳透明度账本（TSA）保证证据的不可篡改性。2026-10-29 的一次交付暴露了这个隔离层：`git reset --hard` 返回 0，部署流水线所有检查状态合规，公网服务的字节却与提交对象不一致。`AUDIT.md` 第 4 节记录了这个状态——**部署状态合规，但字节是错的**。

## 背景

fibemate 的证据体系依赖时间戳透明度账本（TSA）。封存产物（KAT 摘要、时间戳 token、互操作矩阵）以原始字节形式提交到 `docs/tsa/`，并镜像发布到 `www/docs/tsa/` 供公网下载。每份封存产物附带 SHA-256 摘要列表。摘要列表的效力前提是：被摘述的字节与公网可下载的字节逐字节一致。

CycloneDX CBOM 与 TSA 共用同一套字节一致性约束。一个被封存的 `.py` 验证脚本，其提交对象的字节构成它作为证据的身份。公网交付任何一字节偏差，摘要即失效。

## 现象剖析

2026-10-29，`git reset --hard` 返回 0，部署流水线所有检查状态合规。公网服务的字节与提交对象不一致。`AUDIT.md` 记录的对照：

| 产物 | 状态与大小 |
| :--- | :--- |
| 提交对象 (`git cat-file`) | 5,170 B，145 CR / 145 LF |
| 公网服务 (`fibemate.net`) | 5,025 B，0 CR |
| **差异** | **145 B，每行一字节** |

145 个 Carriage Return 在公网交付里丢失。`SHA256SUMS` 里的摘要不再描述站点分发的文件。

`AUDIT.md` 对这个现象的定性：
> This is not a cryptographic finding. It is an evidence finding, and a worse class of failure than a red deploy: the hash in SHA256SUMS no longer described the file the site was handing out. A failed deploy gets fixed the same hour. A deploy that reports success while serving different bytes gets discovered by a stranger with a hash.

失败的部署当天修复。报告成功却分发错误字节的部署，要等陌生人拿哈希比对才能发现。

## 根因定位

仓库 `.gitattributes` 配置 `* text=auto eol=lf`。文本文件 checkout 时统一为 LF。封存产物用 `-text` 标记保留原始字节，不重写：

```gitattributes
* text=auto eol=lf
docs/tsa/** -text
```

`docs/tsa/**` 标了 `-text`。镜像目录 `www/docs/tsa/**` 没标。镜像在 checkout 时走默认的 `eol=lf`，145 个 CR 被归一化掉。

CI 的文本级检查全部读取工作树。工作树里 `docs/tsa/` 与 `www/docs/tsa/` 都已经被重写或保持原样，检查在本地自洽。`AUDIT.md` 记录：
> Every text-level check in CI reads the working tree, where the normalisation is expected and harmless; nothing compared the served bytes to the committed blob.

**没有任何检查把公网服务的字节与提交对象比对。隔离层在本地不可见，在跨端才暴露。**

## 工程解法

两层修复。

### 配置层：镜像目录补上 `-text`
让 `www/docs/tsa/**` 承载封存字节而非其渲染：

```gitattributes
www/docs/tsa/** -text
```
封存产物从此在镜像里保留原始 CRLF。

### 门禁层：黑盒交付门禁
新增 `scripts/check-live.cjs`。设计要点直接写在脚本头注释里：

```javascript
// Expected bytes come from `git cat-file`, never from the working tree. On a
// Windows checkout .gitattributes rewrites line endings on disk, so hashing
// the file you can see reports drift that the deployed copy does not have.
// The commit is the authority; the checkout is a rendering of it.
```

期望字节来自提交对象，不来自工作树。**提交对象是权威，工作树是其渲染。** 门禁做三类检查：manifest 字节一致、token 字节一致、archive 全量逐文件比对。

## 代码落地：check-live.cjs 核心逻辑

### 期望字节读取
`committedBlobs` 用 `git ls-files -s` 取 blob SHA，`git cat-file --batch` 取原始字节：

```javascript
function committedBlobs(repo, rels) {
  const raw = git(repo, ['ls-files', '-s', '-z', '--'].concat(rels));
  // 解析每条 <mode> <sha> <stage>\t<path>
  const shas = rels.map((r) => byPath.get(r).sha);
  const batch = git(repo, ['cat-file', '--batch'], shas.join('\n') + '\n');
  // 返回 Map<rel, {sha, bytes}>，bytes 是提交对象的原始字节
}
```

### 公网抓取与 SHA-256 比对
`fetchBody` 带 `cache-control: no-cache` 避免 CDN 缓存掩盖漂移：

```javascript
async function fetchBody(url, timeout) {
  const res = await fetch(url, {
    redirect: 'follow',
    headers: { 'cache-control': 'no-cache', pragma: 'no-cache' },
    signal: AbortSignal.timeout(timeout),
  });
  return { status: res.status, buf: Buffer.from(await res.arrayBuffer()) };
}

async function checkFile(url, expected, label, opts) {
  const remote = await fetchBody(url, opts.timeout);
  if (remote.status !== 200)
    return { ok: false, reason: 'HTTP ' + remote.status + ' (expected 200)' };
  if (sha256(expected.bytes) !== sha256(remote.buf))
    return { ok: false, reason:
      'byte mismatch: live ' + sha256(remote.buf).slice(0,16) +
      ' vs committed ' + sha256(expected.bytes).slice(0,16) };
  return { ok: true, sha256: sha256(expected.bytes) };
}
```

### 403 处理：策略拒绝即预期
nginx 对 `.sh`、`.bak`、`.sql` 等扩展名配置 `deny all`。门禁对这些文件期望 403，不是 200。**一个 200 意味着 deny 规则失效**：

```javascript
const POLICY_DENIED_EXT = [
  'bak','config','sql','fla','psd','ini','log','sh','inc',
  'swp','dist','old','orig','save','zip','sqlite','db'
];

if (denied) {
  if (remote.status === 403) return { rel, status: 'denied' };           // 预期
  if (remote.status === 200) return { rel, status: 'policy-regression' };// deny 规则失效
  if (remote.status === 404) return { rel, status: 'http-404' };         // 应答 403
}
```

`policy-regression` 是比 `mismatch` 更严重的状态：deny 规则停止工作，敏感扩展名被公网服务。门禁把 403 当作通过条件之一，把 200 当作失败。

### archive 全量比对
`docs/tsa/` 下每个被跟踪文件都要被公网服务或被策略拒绝。published tree 是 tracked tree 的超集（PR #399 起站点直接在 `www` 下铸造 token），所以"文件数相等"不是判据。判据是：**仓库里的文件一个都不能少，被服务的文件必须逐字节一致**：

```javascript
const files = trackedUnder(opts.repo, ARCHIVE_DIR_REL);   // git ls-files docs/tsa/
const expected = committedBlobs(opts.repo, files);
const perFile = await pool(files, opts.concurrency, async (rel) => {
  const remote = await fetchBody(opts.base + '/' + encodePath(rel), opts.timeout);
  if (policyDenied(rel))  return remote.status === 403 ? 'denied' : 'regression';
  if (remote.status !== 200) return 'http-' + remote.status;
  return sha256(want.bytes) === sha256(remote.buf) ? 'ok' : 'mismatch';
});
```

### 门禁运行结果
修复后对 HEAD `a643568` 运行：

```text
check-live: https://fibemate.net (repo HEAD a643568)
[PASS] live:manifest sha256 a6064635af926432 (30238 B)
[PASS] live:token   sha256 7e3477b02accfb15 (4643 B)
[PASS] live:archive 264/266 files identical, 2 denied by policy
DEPLOY VERIFY: PASS (3 checks, 3431 ms)
```

264 个文件逐字节一致，2 个 `.sh` 被 nginx 拒绝（403，符合策略）。同一份 `verify_cyclonedx_data_loss.py` 今天的服务状态：HTTP 200，application/octet-stream，5,170 B，145 CR——提交对象的原始字节。

部署脚本的第 `[6/6]` 步运行此门禁。非零退出即部署失败。**`git reset --hard` 返回 0 不再作为交付完成的证据。**

## 边界声明

`check-live.cjs` 覆盖公网交付字节与提交对象的一致性。它不覆盖：
- CDN 与源站之间的缓存滞后。`cache-control: no-cache` 缓解，不消除。
- 未在 `docs/tsa/` 跟踪的产物。
- HTTPS 传输层的中间人。由 TLS 终止，不在门禁视野内。

**门禁判据是字节同一，不是语义等价。** CRLF 与 LF 在文本语义上等价，在证据语义上不等价。封存产物的身份是其字节，不是其文本内容。

---
**项目仓库**：[github.com/Lennonhaha/fibemate](https://github.com/Lennonhaha/fibemate)
**预印本（方法学）**：Tianhe Liu. Deterministic but Wrong: Why Behavior-Based Tests Miss Structural Errors in Keccak-f Implementations. Zenodo, 2026-10-25. [https://doi.org/10.5281/zenodo.23637405](https://doi.org/10.5281/zenodo.23637405)
**预印本（工程总览）**：Tianhe Liu. Engineering Verification of PQC: A Case Study on Formalizing VWZ in Isabelle/HOL and Supply Chain Integration (CBOM). Zenodo, 2026-10-30. [https://doi.org/10.5281/zenodo.23808518](https://doi.org/10.5281/zenodo.23808518)


在 fibemate 的密码学证据体系中，时间戳透明度账本（TSA）保证证据的不可篡改性。2026-10-29 的一次交付暴露了这个隔离层：git reset --hard 返回 0，部署流水线所有检查状态合规，公网服务的字节却与提交对象不一致。AUDIT.md 第 4 节记录了这个状态——部署状态合规，但字节是错的。

跨端字节一致性校验：拦截 145 字节 CRLF 漂移的工程实践

封存产物的身份是其字节，而非文本内容。一次真实的交付事故表明，本地 .gitattributes 的自动规范化与公网传输的隔离层，会静默重写行尾符，导致完整的证据链断裂。本文深入剖析 Git 内部对象与文件系统的差异，并分享如何通过 check-live.cjs 构建黑盒交付门禁：将 Nginx 的 403 策略拒绝视为合规预期，将读取提交对象（Commit）作为唯一事实来源，彻底拦截跨端的字节漂

人工智能

腾讯云社区技术复盘：fibemate PQC平台TSA时间戳透明度账本在2026-10-29遭遇部署漂移，git reset --hard返回0但公网字节与提交对象不一致。根因是.gitattributes未对镜像目录www/docs/tsa/**设置-text，导致145个CR被归一化丢失。通过补配-text及新增check-live.cjs黑盒门禁，比对git blob与公网SHA-256，实现264文件逐字节验证，确保部署状态与字节一致性。

代码解释

平台工程

SQLite

GitHub

Nginx

CDN免费试用


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

腾讯云社区技术复盘：fibemate PQC平台TSA时间戳透明度账本在2026-10-29遭遇部署漂移，git reset --hard返回0但公网字节与提交对象不一致。根因是.gitattributes未对镜像目录www/docs/tsa/**设置-text，导致145个CR被归一化丢失。通过补配-text及新增c...

跨端字节一致性校验：拦截 145 字节 CRLF 漂移的工程实践-腾讯云开发者社区-腾讯云

跨端字节一致性校验：拦截 145 字节 CRLF 漂移的工程实践

跨端字节一致性校验：拦截 145 字节 CRLF 漂移的工程实践

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐