DataOps-platform/docs/runbooks/P3_WP08_THIRD_DOMAIN_REPLICATION_OPERATIONS.md

P3-WP08 第三业务域复制运行手册

1. 启动门禁

仅在企业提供并批准 third_business_domain、enterprise_source_1、network、security_legal 后启动。还必须提供实名 Domain Owner、Data Steward、UAT 用户、最小权限只读来源、字段字典、主键/游标、术语与代码集、质量阈值、SLO、整改时限、产品合同及 Agent 授权范围。秘密只保存在批准的密钥系统，不进入实施包、日志或报告。

2. 实施步骤

1. 在独立目录复制 docs/phase3/p3-wp08-third-domain-template/，禁止覆盖第二域或样本包。
2. 用批准的领域配置替换模板、受控脱敏快照/增量、终态收据和十阶段执行收据。
3. 每个阶段先运行 dry-run，记录零写入审计引用；再执行；最后记录 diff，发生失败则记录 rollback。顺序固定为：模板、增量、目录、语义、责任、质量、整改、可观测、数据产品、Agent。
4. 经 P3-WP03 通用连接器和 P3-WP04 边缘边界在批准网络中接入真实来源；仅保存证据摘要及批准引用。
5. 运行验证器两次，要求报告字节一致、增量 replay_changes=0、Agent 只读或建议且跨域拒绝。
6. 对照 P3-WP08 UAT 清单执行真实用户验收、缺陷关闭、回滚演练和签署；所有四项外部输入未完成前状态必须保持 UAT blocked。

包文件安全边界

验证器以受控包根目录 FD 打开所有输入：拒绝根目录父链/子路径的符号链接、非普通文件和 hardlink；每个输入只读取一次到内存，并在读取前后比较 inode、大小和时间戳。清单摘要、 JSON/CSV 解析和后续验证都使用同一份内存字节。任何路径替换、文件变更、超限文件或目录 替换都失败关闭；不得通过重新按路径读取或修改测试包来绕过该约束。

JSON 输入是闭合 schema：Manifest、领域模板、十阶段终态收据和执行收据均拒绝未知字段、 过深/超大值、NFKC/Unicode 同形的凭据或 raw-row 键、URL、SQL 和秘密材料。受控 CSV 样本是唯一允许的行级输入，且只在内存中转换为行计数/摘要，不进入报告。

P3-WP03/P3-WP04 本地合同绑定

增量、目录/血缘、健康阶段各须有一个版本化 contract_refs，分别引用代码侧受信注册表中的 p3_wp03_connector_run、p3_wp03_catalog_lineage 和 p3_wp04_edge_health。引用必须逐项匹配 contract_id、版本、schema digest、allowed operation，以及已登记的 operation UID、run ID、attempt、 lease fence、request/result digest 和状态；包内 manifest、报告或证据不能建立信任。当前注册表的 trust level 明确为 ENGINEERING_EVIDENCE_ONLY，仅承载受控本地 fixture，不代表企业来源已经接入。

schema-v2 的 execute 收据必须记录 operation UID、idempotency key、request digest、attempt、当前 lease fence、pre/post state digest、result digest 与状态。rollback 只允许引用同一 execute：身份、 request、attempt、fence 必须相同，from_digest=post_state_digest、to_digest=pre_state_digest，并由 独立 replay_receipt 复核 exact replay；迟到或伪高 fence、任意 digest、changed replay 均必须拒绝。 P2 schema-v1 包不要求这些 v2 contract_refs 或 execution receipts，仍保留其原有字段和安全边界。

3. 失败与恢复

• dry-run 有写入、阶段乱序、摘要不一致、游标倒退、模板不兼容、跨域 Agent、证据含 URL/凭据/raw rows：立即失败关闭，隔离当前包，不产生通过报告。
• 执行后差异超出批准范围：停止后续阶段，保留 diff 摘要，由责任人决定修订或 rollback。
• 已执行阶段失败：使用对应 rollback 收据及审计引用恢复；重新 dry-run 后才可重试。
• P3-WP03/P3-WP04 连接、网络或数据不出域门禁失败：停止真实接入，保留本地模板状态，不把样本成功写为企业证据。

4. UAT 最小清单

• 十个阶段各有 dry_run -> execute -> diff|rollback、审计与证据摘要；
• 来源增量、目录、血缘和健康信号通过 P3-WP03/P3-WP04 的批准路径；
• 责任、质量整改、事故、统一任务、产品合格证与只读/建议 Agent 闭环；
• 非授权角色和跨域 Agent 请求被拒绝并审计；
• 不复制设备或物料专用服务，P3-M15 为 0；
• 企业责任人和真实 UAT 用户签署后，才能解除 blocked_external。