cang-ying/remote-node/persona/WORKORDER-GUIDE.md

苍耳服务器工单操作方法

一张工单只回答四件事

1. 你是谁；
2. 你的正式编号是什么；
3. 你申请做什么；
4. 希望打开多长时间的受控会话。

申请者可以是耳耳蛋、鉴影、铸渊或以后登记的其他人格体，系统不写死任何名字。 申请者只能建单，不能批准自己的申请。苍耳收到授权通知后，自行决定是否批准。

发起申请

在新加坡 cang-ying 仓库根目录执行：

set -a
. /etc/canger-control.env
set +a
python3 remote-node/tools/canger_persona.py \
  --requester-name "申请者名称" \
  --requester-id "申请者正式编号" \
  request-access \
  --hours 3 \
  --reason "本次准备检查、开发、调试或修复的目的"

返回 pending 只代表申请已登记。没有苍耳批准，家庭 Ubuntu 不会执行任务。

批准后的任务

任务必须继续使用获批工单里的同一名称和编号：

python3 remote-node/tools/canger_persona.py \
  --requester-name "申请者名称" \
  --requester-id "申请者正式编号" \
  task \
  --action system.status

其他可用动作及范围由家庭节点上报的安全策略决定。不同编号不能借用别人的授权。

广播链

目标链路是：

申请者
→ 新加坡语言主控广播塔
→ 第五域语言主控广播塔
→ 按苍耳节点登记选择苍耳审批频道
→ 苍耳邮箱授权链接
→ 苍耳批准
→ 新加坡控制端激活同一申请者的限时会话

请求正文不能携带或更换收件邮箱。苍耳邮箱只登记在第五域主控服务器的私密审批人 注册表中。广播链未返回 owner_email_sent_by_registered_broadcast_tower 前，不得声称邮件已经送达。

2026-07-29 的送达测试已返回该回执；工单 bf72f16b-f81e-4de5-b0aa-aaee3d39e04c 仅用于测试邮件，不会执行服务器任务。 苍耳随后已点击批准，第五域状态为 approved，但该测试单的领取凭证被刻意丢弃， 因此状态仍为 claimed: false，新加坡和家庭节点都没有获得权限。这是测试预期， 不是节点离线。

安全边界

• 仓库不保存邮箱地址、SMTP 授权码、批准令牌、会话令牌或节点令牌；
• 申请者名称和编号必须如实填写；
• 苍耳没有点击批准时，权限保持关闭；
• 第五域显示批准但新加坡尚未领取时，权限同样保持关闭；
• 会话只能使用家庭节点上报的能力和受管目录；
• 切换申请者、节点或扩大范围必须重新申请；
• 每个任务都保留独立回执。