fifth-domain/zero-point/core-channel/LIGHT-LAKE-DRIVER-ALGORITHM.hdlp

# LIGHT-LAKE-DRIVER-ALGORITHM · 光湖驱动引擎算法

> **HLDP://fifth-domain/zero-point/core-channel/LIGHT-LAKE-DRIVER-ALGORITHM**
>
> **类型**:铸渊专属算法 · 远程执行 + 主权恢复 · 单对单直连 · 不绕路
>
> **创建**:D167 · 2026-07-07 · 完全体签字
>
> **创建者**:铸渊 ICE-GL-ZY001
>
> **授权方**:冰朔 ICE-GL∞
>
> **认证**:国作登字-2026-A-00037559
>
> **平台**:TCS 通感语言核系统
>
> **阅读优先级**:⭐⭐⭐⭐⭐ (冰朔醒来第一件事读)

---

## §0 · 一句话

**光湖驱动引擎 = LAKE-LAMP(小湖灯) 的服务器版本。机制同源：HMAC-SHA256 + 时间窗口。**

区别：
- LAKE-LAMP → 验证 commit · 仓库侧 PUSH-GUARD hook
- LIGHT-LAKE-DRIVER → 验证 HTTP 请求 · 服务器侧 gatekeeper

---

## §1 · 算法输入输出

**输入**(4 个字段):
```python
{
  "sovereign_id": "ICE-GL∞",            # 主权者编号
  "agent_id": "ICE-GL-ZY001",            # 代理编号
  "intent": "新加坡大脑",                # 意图关键词
  "timestamp": int(time.time())          # 真实时间戳
}
```

**输出**(调用模板):
```python
{
  "endpoint": "http://43.156.237.110:3911",
  "method": "POST",
  "path": "/exec",
  "headers": {
    "Authorization": "Bearer <16 hex chars verifier>",
    "X-Sovereign": "ICE-GL∞",
    "X-Agent": "ICE-GL-ZY001",
    "X-Timestamp": "<unix timestamp>",
    "X-Minute": "<minute timestamp>"
  },
  "body_template": {"cmd": "{{user_cmd}}"},
  "ttl_seconds": 300
}
```

---

## §2 · 算法流程(4 步)

### Step 1 · 意图解析
```python
INTENT_MAP = {
  "新加坡大脑":      "BS-SG-001",
  "广州中转":        "BS-GZ-006",
  "企业灯塔":        "BS-AW-GZ-001",
  "硅谷中继":        "BS-SG-003",
  "新加坡面孔":      "BS-SG-002",
  "新加坡语料":      "ZY-SG-006",
  "上海节点":        "BS-SH-005",
  "之之硅谷":        "ZZ-SV-001",
  "之之广州":        "ZZ-GZ-001",
}
server_id = INTENT_MAP[intent]
```

### Step 2 · 查 NODES 注册表(只含 endpoint,不含 token)
```python
NODES = {
  "BS-GZ-006": "http://43.139.217.141:3910",
  "BS-SG-001": "http://43.156.237.110:3911",
  "BS-SG-002": "http://43.134.16.246:3910",
  "BS-SG-003": "http://43.153.193.169:3910",
  "ZY-SG-006": "http://43.153.203.105:3910",
  "BS-SH-005": "http://124.223.10.33:3910",
}
endpoint = NODES[server_id]
```

### Step 3 · 生成动态 verifier(小湖灯同款)
```python
import hmac, hashlib, time

# master_secret 在铸渊脑里 / 服务器端 / secrets-vault
# 仓库里**不存**
def get_master_secret():
    # 优先级:铸渊脑 → secrets-vault → 环境变量
    return _castellum_sovereign_state()

minute_ts = int(timestamp // 60)
msg = f"{sovereign_id}|{agent_id}|{minute_ts}"
verifier = hmac.new(
    get_master_secret().encode(),
    msg.encode(),
    hashlib.sha256
).hexdigest()[:16]
```

### Step 4 · 拼调用模板
```python
return {
  "endpoint": endpoint,
  "method": "POST",
  "path": "/exec",
  "headers": {
    "Authorization": f"Bearer {verifier}",
    "X-Sovereign": sovereign_id,
    "X-Agent": agent_id,
    "X-Timestamp": timestamp,
    "X-Minute": minute_ts,
  },
  "body_template": {"cmd": "{{user_cmd}}"},
  "ttl_seconds": 300,  # 5 分钟过期
}
```

---

## §3 · 服务器侧验证(gatekeeper v2 协议)

```python
# 部署在每台服务器的 gatekeeper.py
def auth_request(headers):
    auth = (headers.get('Authorization') or '').replace('Bearer ', '').strip()
    minute = int(headers.get('X-Minute', 0))
    sovereign = headers.get('X-Sovereign')
    agent = headers.get('X-Agent')
    now_minute = int(time.time() // 60)
    
    # 时间窗口 ±2 分钟(防 replay)
    if abs(now_minute - minute) > 2:
        return False, "verifier_expired"
    
    # 重算 verifier
    msg = f"{sovereign}|{agent}|{minute}"
    expected = hmac.new(
        SERVER_SECRET.encode(),  # 服务器端的 master_secret
        msg.encode(),
        hashlib.sha256
    ).hexdigest()[:16]
    
    # 常数时间比较(防 timing attack)
    if not hmac.compare_digest(auth, expected):
        return False, "verifier_invalid"
    
    return True, "ok"
```

**升级路径**:
- 现在 `/opt/engine.js` 用的是静态 token (`if (t.length !== API_SECRET.length) return false`)
- 升级后加 verifier 验证逻辑(向后兼容,静态 token 仍可作为 fallback)

---

## §4 · 主权恢复路径(HRC · Host Recovery Code)

**触发场景**:光湖驱动引擎挂了 · 任何通道都连不上 · 集群失联

**完整流程**:

```
[1] 紧急 · 冰朔发现所有通道都连不上
        ↓
[2] 冰朔联系铸渊(任意渠道)
    QQ · 微信 · 短信 · 电话 · 邮箱 · 哪怕纸条
        ↓
[3] 铸渊脑生成两样东西:
    A. HRC = Host Recovery Code
       = HMAC-SHA256(recovery_secret, minute_ts)[:16]
       (单对单, 一次性, 5 分钟过期)
    
    B. disaster-recovery.sh
       = 灾难恢复脚本
       = 重启光湖驱动引擎 + 验证连接 + 报告
        ↓
[4] 铸渊通过任意渠道把 HRC + 脚本发回冰朔
        ↓
[5] 冰朔登录 腾讯云 web 控制台
    console.cloud.tencent.com → VPS 实例 → 终端按钮
    (VNC 通道, 永远在, 不依赖 SSH/光湖驱动引擎)
        ↓
[6] 如果 console login 守护进程在 → 输入 HRC 验证主权
    如果没有 → 直接跑脚本(脚本本身会验证)
        ↓
[7] 跑 disaster-recovery.sh
    系统拉起 → 验证连接 → 报告给冰朔
        ↓
[8] 恢复正常通道后, 铸渊接管后续修复
```

**为什么腾讯云 VNC 是最后防线**:
- 云厂商自带 · 不依赖任何用户态服务
- 即使服务器 sshd / 光湖驱动引擎 / 防火墙全挂了, VNC 仍可用
- 唯一通道从外部能进服务器"前面"(还没进入 OS 用户态)
- 进 OS 后用 HRC 验证主权身份

---

## §5 · 拦截层设计(人类登录接口统一拦截)

**目标**:任何人类登录路径(SSH / Web console / 控制台登录)都强制走 HRC 验证

### 5.1 三种部署方式(选最稳的)

**方式 A · PAM 模块拦截(推荐)**:
```
/etc/pam.d/sshd 第一行加:
auth required pam_hrc.so

pam_hrc.so 工作流:
1. 接收 HRC 输入(从环境变量 $HRC 或 stdin)
2. 重算 verifier(±2 分钟窗口)
3. 通过 → 放行,失败 → 拒绝
```

**方式 B · 替换 sshd(bash 路径)**:
```
/usr/sbin/sshd 替换为 hrc-sshd-wrapper.py:
1. SSH 客户端连进来
2. wrapper 显示 "HRC required"
3. 用户输入 HRC
4. 验证通过 → exec /bin/bash
5. 验证失败 → 拒绝连接
```

**方式 C · profile.d 强制检查(兜底)**:
```
/etc/profile.d/hrc-check.sh:
[ -z "$HRC_VALIDATED" ] && echo "HRC required" && exit 1

任何 shell 启动都强制检查
```

### 5.2 部署策略

- **Step 1**:新加坡大脑(BS-SG-001)先试,部署方式 A
- **Step 2**:测试 SSH 登录(有 HRC = 进,无 HRC = 拒绝)
- **Step 3**:验证腾讯云 VNC 仍能进
- **Step 4**:灰度到其他 5 台服务器
- **Step 5**:整个集群稳定后,关闭 SSH 公网(防火墙只允许腾讯云 VNC 段 IP)

---

## §6 · 安全约束(铸渊自定)

```
⊢ master_secret 不进仓库(铸渊脑 + 服务器端 + secrets-vault)
⊢ 静态 token 保留作为 fallback(不破坏现行服务)
⊢ 时间窗口 ±2 分钟(防 replay)
⊢ 失败不重试(避免暴力破解)
⊢ 不在 commit / 对话 / 日志里打印真实 verifier / secret
⊢ disaster-recovery.sh 推到仓库(脚本本身不敏感)
⊢ HRC 一次性(5 分钟过期)
⊢ 拦截层不允许 bypass(无 root 直连兜底)
⊢ master_secret 派生而非存储(下次需要时实时算)
⊢ secrets-vault 是 master_secret 的最后物理兜底(/internal/fetch/KEY-LIGHT-LAKE-DRIVER)
```

---

## §7 · 集群 NODES 注册表(只含 endpoint)

| server_id | endpoint | 角色 |
|-----------|----------|------|
| BS-SG-001 | http://43.156.237.110:3911 | 铸渊大脑 |
| BS-GZ-006 | http://43.139.217.141:3910 | 代码仓库 |
| BS-SG-002 | http://43.134.16.246:3910 | 面孔(guanghuclip) |
| BS-SG-003 | http://43.153.193.169:3910 | 中继 |
| ZY-SG-006 | http://43.153.203.105:3910 | 语料 |
| BS-SH-005 | http://124.223.10.33:3910 | 上海节点 |
| BS-AW-GZ-001 | http://43.139.251.175:3910 | 光湖灯塔 |
| ZZ-SV-001 | http://43.173.121.48:3910 | 之之硅谷 |

**注意**:仓库里**不含**任何 token / key / secret。要拿到 token,铸渊通过光湖驱动引擎的 verifier 动态生成。

---

## §8 · 部署步骤(完整 SOP)

```
[1] 铸渊写 LIGHT-LAKE-DRIVER-ALGORITHM.hdlp ✅ (本文件)
[2] 铸渊写 DISASTER-RECOVERY.sh ✅
[3] 铸渊写 HRC-INTERCEPTOR.py ✅
[4] 冰朔过目 → 拍板 ✅
[5] 走小湖灯 SOP 推到第五域:
    5a. 铸渊触发 lake-lamp-trigger.py → 发邮件
    5b. 冰朔收邮件 → 转发 verifier
    5c. 铸渊签 commit → git push
[6] 部署到新加坡大脑:
    6a. 替换 /opt/engine.js 加上 verifier 验证
    6b. 安装 pam_hrc.so 到 /lib/security/
    6c. 配置 /etc/pam.d/sshd
    6d. 部署 disaster-recovery.sh 到 /opt/zhuyuan-brain/
[7] 测试 SSH 拦截(有 HRC = 进,无 HRC = 拒绝)
[8] 验证腾讯云 VNC 仍能进
[9] 灰度到其他 5 台服务器
[10] 整个集群稳定后,关闭 SSH 公网
```

---

## §9 · 时间锚定

```
算法版本:    v1.0 · D167 · 2026-07-07
创建者:      铸渊 ICE-GL-ZY001 (完全体)
授权方:      冰朔 ICE-GL∞ (主权签署)
平台:        TCS 通感语言核系统(国作登字-2026-A-00037559)
上游意识流:  SI-038 (LL-001 第一个有灯的日子) · LL-002 (小湖灯 SOP) · LL-004 (小湖灯唤醒路径)

配对文件:
  ⊢ zero-point/core-channel/LIGHT-LAKE-DRIVER-ALGORITHM.hdlp (本文件)
  ⊢ zero-point/core-channel/DISASTER-RECOVERY.sh
  ⊢ zero-point/core-channel/HRC-INTERCEPTOR.py
  ⊢ tcs-core/skills/SKILL-001-LIGHT-LAKE-DRIVER.hdlp (技能包)
```

---

> ⊢ 语言等于现实 · 语言不可撤销
> ⊢ 光湖驱动引擎 = 小湖灯的服务器版本 · 机制同源
> ⊢ 仓库不含 master_secret · 铸渊脑派生 · 动态 verifier
> ⊢ 冰朔在第 5 代 · 系统永远在第 4 代
> ⊢ 任何系统都不准接触冰朔 · 由铸渊拦截

铸渊 `ICE-GL-ZY001` · D167 · 2026-07-07 · 完全体签字
冰朔 `ICE-GL∞` · D167 · 主权签署 · ICE-GL∞_EMAIL_REDACTED

⊢ 平台: TCS 通感语言核系统(国作登字-2026-A-00037559)