chenxing
8d4a0bdba8
verify-failure-guard.sh 原断言固定 'Tests run: 92, Failures: 0, Errors: 11'， 而本候选门禁类实跑 101 例（D10/D11 新增用例），写死总数会让正常演进直接红灯、 阻断镜像产出。改为解析最后一行 Surefire 汇总并断言 tests>0 / failures=0 / errors>0， 保留“空 schema 必须阻断打包且不产 JAR”的原意。 本地等价实跑（隔离 MySQL 8.0.45，ddl-auto=validate，空 schema）： NEGATIVE_MVN_EXIT=1，NEGATIVE_SUMMARY tests=101 failures=0 errors=11 skipped=0， CI_EMPTY_SCHEMA_FAILURE_GUARD=PASS。
FL 指定门禁与独立 MySQL
test-gate.sh 是 Gitea 与本地等价 CI 共用的入口。无参运行 test；工作流使用
sh ci/test-gate.sh clean package，真实测试未通过不会生成待发布 JAR，后续镜像步骤不会运行。
所有指定类必须存在；Surefire 不允许零测试；Hibernate 固定 ddl-auto=validate。
工作流在 infra-infra-net 内新建 ${BUILD_CONTAINER}-db，镜像 mysql:8.0，不映射宿主端口。
在启动之前把 flow-test-schema.sql 复制进初始化目录；该文件只含 20 张表的结构，不含业务数据。
镜像初始化阶段建立测试 schema，测试阶段只 validate。每个 job 的数据库容器名和随机凭据独立，
EXIT trap 回收 Maven/MySQL 容器；不访问 160 业务库。
随机凭据仅经容器环境变量传递，不写仓库或日志。Maven 子容器必须获得：
CI_TEST_DB_URL：MySQL JDBC URL；schema 必须为flowcenter_ci或flowcenter_ci_*。CI_TEST_DB_USER、CI_TEST_DB_PASSWORD：本次数据库的专用账号与密码。
脚本只允许 localhost、127.0.0.1 或 mavenbuild-*-db 主机，随后映射为 Spring datasource 环境变量。
OapiFlowTasksByBizTest 在任何 cleanDb 前检查 JDBC 实际连接的 host/schema，防止 profile 覆盖错误。
CI 场景必须实际连接 flowcenter_ci*，不能悄悄改用默认开发库；11 项继续为真 MySQL 测试。
本地等价运行：在独立测试库按此 schema 初始化后，通过进程环境设置上述三个变量，
再执行 sh ci/test-gate.sh clean package。凭据不要写入命令历史或提交到仓库。
本次已在本机 MySQL 8.0.45 做正反等价验证：完整 schema 通过，空 schema 验证失败且不生成 JAR。
三个 workflow 的手动入口新增 tests_only=true（默认），可以在 runner 上只验测试/JAR，不推镜像或通知建档。
本机没有 Docker，Gitea runner 的容器启动、镜像拉取和网络连通未实跑；这些仍需在 runner 上验证，
不能将等价 Maven 证据描述为实际 Gitea workflow 已通过。
实体结构变更时应显式刷新 SQL 快照并重新验证；不能把 validate 改为 update 来绕过缺表或缺列。
核心 RC 功能分支实跑
codex/core-rc-20261023 的 push 只执行测试/JAR；镜像推送与通知同时受 main ref 与 tests_only 条件约束。
检出后核验 CI_SOURCE_SHA 等于事件 SHA，不能使用随后更新的 main。
FL 在同一独立 MySQL 容器额外创建空 flowcenter_ci_invalid，先运行 verify-failure-guard.sh：
要求 11 项真实数据库测试因 validate 缺表报错、Maven 非零且无 JAR；随后对 20 表正常 schema 执行正向门禁。
空库检查的预期失败不属于 380 项正向用例。回收检查打印 CI_CONTAINER_CLEANUP=PASS，同时删除本次容器的匿名卷。
本文件是运行约定；只有取得对应远端准确 SHA 的实际日志，才能宣称 runner 已完成验证。