12 KiB
STEP20C — alternatives OOM privées sur corps C réels
EXPERIMENTAL, source-only. CORE_PRODUCTION_OOM_POLICY=UNDECIDED.
Aucune modification production, aucun nouveau build compositeur/SceneFX, aucune
réservation runtime, aucune adoption de politique. Le CORE historique exact
29baf31aa3eeed259825c87d0799fa5d3dc83710afb967154604eb1c6657f965
reste inchangé. A reste OOM_ABORT_EXPERIMENTAL ; la disponibilité production
est PRODUCTION_AVAILABILITY_NOT_APPROVED.
Reproduction et provenance
Depuis la racine du dépôt, choisir un nouveau dossier privé hors Git :
PYTHONDONTWRITEBYTECODE=1 python3 tooling/probes/step20c-core-recovery/oom/run.py /chemin/prive/nouveau-oom
PYTHONDONTWRITEBYTECODE=1 python3 tooling/probes/step20c-core-recovery/oom/negative.py /chemin/prive/nouveau-oom
Le parent historique en lecture seule est
/home/fy59/swayfx-mosaic-minimal-core-2l7riqt_/. prepare.py exige les hashes
connus des sources complètes, construit trois copies complètes privées
{A,B,C}/scene.c, transaction.c, scene.h, puis extrait leurs intervalles
exacts. Les noms complets ne sont jamais ceux du harnais (harness-scene.c).
Les sources complètes, slices, binaires et logs restent hors Git. Les petits
patches sans contexte préservés ici sont les deltas exacts des copies privées ; ce ne sont pas
le patch cumulatif production. sources.json lie chaque parent, prototype et
patch ; bindings.json lie les slices aux sources complètes, offsets et SHA.
Le header B change seulement la déclaration privée void→bool ; aucun header
installé n'est modifié. C conserve le header byte-identique.
Parent scène : 99992429f9a1d2754042989d89904fb6d705f963d74f4456d737fc9da3e0927d.
Parent transaction : 0b1d31bb8458dceaff34cc2a2987044b3096e6ebc96e68b522c0ac3540bc8ecd.
Parent header : bc102f289c905995d142786412e6085c60b8d44d37184d67fa35fdb301c33e2d.
Les parents viennent du noyau privé minimal figé au ticket précédent, pas des
sources productives du dépôt ni d'un modèle d'allocation réinventé.
A — arrêt contrôlé
Corps setter, sidecar, destroy, clips, hit et popup byte-identiques au parent.
Les injections ciblent uniquement son calloc : première sidecar, ou deuxième
après réussite d'une première sur un autre arbre. Résultat attendu et obtenu :
-6 / SIGABRT dans les trois modes normal/UBSan/ASan, RLIMIT_CORE=(0,0).
L'arrêt refuse le fail-open mais tue le processus. Récupération de session,
retour au SwayFX quotidien, réouverture des applications : NOT TESTED.
Le test mutant retire abort et exige que cette mutation soit détectée via
sortie99, plutôt qu'un abort artificiel dans le harnais.
B — bool, masquage synchrone et admission du propriétaire
Le setter exact modifié retourne true pour succès/NULL/idempotence. En OOM,
il appelle le vrai corps wlr_scene_node_set_enabled(false) extrait puis
retourne false. Il n'existe donc pas de retour false laissant cet arbre enabled.
Le setter ne réactive jamais l'arbre : le propriétaire conserve l'autorité de
visibilité. Un popup qui a subi OOM reste désactivé même après réussite ou
retour standard ; la récupération de cette disponibilité nécessitera un futur
contrat explicite. Ce compromis privé est intentionnel et n'est pas une UX
popup adoptée.
L'audit trouve 11 appels setter dans transaction.c : deux pour tiling (Mosaic/standard) et neuf pour popup (standard/no owner, ancêtre fullscreen current, non-tiled/workspace fullscreen, inactive/missing clip/coords, translation/intersection invalides, propriétaire caché, viewport final). Chaque appel privé vérifie le résultat et retourne sur échec. Le retour arrange_output n'empêche pas arrange_root d'arranger ensuite les popups ; un clip tiling absent mène au masque popup. Cette chaîne complète est auditée dans les sources mais n'est pas exécutée par un compositeur dans ce ticket.
L'audit des enable tiling révèle le risque de réactivation par fading-out
(parent ligne1024) sans nouveau setter. Le helper privé
probe_clip_enable_tiling(ws, desired) exige un clip appliqué si Mosaic est
courant. Les demandes active, fading-out et inactive passent par ce helper ;
une installation réussie est suivie d'une admission active explicite.
desired=false reste false. NULL standard peut être admis par la demande
upstream suivante ; un clip vide reste un clip valide et masque les hits.
La régression compile le corps exact du helper et la statement exacte de
la branche fading-out, avec état workspace réduit. Le corps arrange_output
complet n'est pas compilé et la cohérence transaction/animation reste à tester.
Les autres enable de transaction.c concernent des descendants de conteneurs,
fullscreen/floating ou les couches root/output : ils ne réactivent pas le
workspace tiling désactivé. disable_workspace désactive seulement. L'audit
set_enabled du Sway privé ne trouve pas de réactivation directe du wrapper
popup XDG dans xdg_shell.c ; son arbre interne de surface et les popups IME
sont des arbres distincts. Les animations de workspace passent par
arrange_root/arrange_output. Reparent ne remplace pas l'identité du wrapper ni
son enabled. Ce constat de source n'est pas une preuve universelle de tous les
consommateurs SceneFX possibles ; aucun API général fail-closed n'est annoncé.
Le vrai enabled extrait collecte l'ancienne visibilité avant disabled puis appelle scene_node_update avec cette région. Le harnais vérifie la transmission d'une région antérieure non vide au callback réduit. Les changements de clip réussis gardent scene_node_update du parent. La visibilité/damage réelle, effects, ancien/nouveau viewport et pixels périmés sont NOT PROVEN : scene_node_visibility et scene_node_update sont des supports, pas le moteur.
C — réservation sidecar avant publication
Le vrai corps create est modifié dans une copie privée : première allocation arbre, deuxième allocation réservation ; échec de la seconde libère l'arbre avant scene_tree_init, sans listener ni publication au parent. Après les deux succès seulement, init publie et le listener de destroy est attaché. Le setter réutilise cette réservation et ne contient plus d'allocation. NULL la rend inactive, un zéro reste actif, destroy la libère. Les walkers/get ne voient que les entrées actives ; une ancienne box inactive ne peut pas devenir un clip effectif. Un clip nouveau écrase la box avant la mise à jour.
Ce contrat exige des arbres créés par ce create privé. Le root embarqué du scene n'y passe pas et ne peut pas être donné au setter C ; aucun appel actuel Mosaic ne clippe ce root. Les chemins de création externes/embarqués et tous les consommateurs de create doivent être qualifiés avant adoption. Un appelant qui ne traite déjà pas NULL peut échouer ailleurs : la survie d'une session complète n'est pas acquise par le retour NULL de ce create.
Aucun champ tree/node public n'est ajouté. bool active appartient à la
sidecar privée. memory.c compile sa déclaration exacte avec le vrai
wlr_box des headers wlroots0.20 et le vrai wl_listener Wayland :
A/B 56 octets par arbre effectivement clippé ; C 64 octets pour chaque
arbre créé, même jamais clippé, plus allocations/metadata allocateur non
mesurées. Pointeurs8, box offset16, listener offset32 (A) /40 (C).
La taille tree historique128 n'est pas remesurée ici, et les types réduits de
harnais ne servent jamais de preuve ABI. C ajoute une allocation à chaque
create et retient la mémoire jusqu'au destroy ; coût total proportionnel au
nombre de tous les arbres, non seulement aux fenêtres Mosaic.
Tests obtenus et frontière de preuve
LAB exécuté : /home/fy59/swayfx-mosaic-core-recovery-qmhckba5/oom/.
commands.json contient 40 commandes aux codes attendus : neuf builds
normal/UBSan/ASan, 27 exécutions (defined + injections1/2), deux builds et deux
exécutions de taille sidecar. Tous B/C retournent0. ASan leak detection activée,
UBSan halt-on-error ; aucun diagnostic sanitaire hors arrêts volontaires.
Listes, listeners et signaux destroy sont Wayland natif, régions Pixman natives.
Ce ne sont pas des builds sanitaires du compositeur ni de ces bibliothèques.
A/B réutilisent les tests lifecycle : copie/idempotence, NULL/zéro/retrait, parent-child, entrée après exclusion clip, destructions parent/child. B ajoute OOM sans hit descendant et transmission ancienne région, aucune réactivation implicite, activation/fading/standard admis seulement selon desired/clip. C teste le vrai create extrait sur chaque allocation, aucune publication ni listener à l'échec, NULL→clip→zéro→retrait→réinstallation sans allocation, parent-child, hit et changement de pointeur parent, destroy parent avant child. Le reparent fixture n'est pas le vrai corps reparent/damage.
A/B/C exécutent le vrai probe_clip_popup : current fullscreen ancêtre et
pending contradictoire, standard, workspace inactif, propriétaire complètement
caché puis revenu, fullscreen workspace, propriétaire non tiled, clip tiling
absent et owner absent ; nested hérite le clip root. Les arbres stack de ce
test C reçoivent une réservation par reserve_fixture, support explicite et
non preuve du create réel ; celui-ci est vérifié séparément avec allocations.
Aucun XDG/grab/serial réel ni saved-buffer natif n'est exercé. Les saved buffers
héritent le clip tiling par leur arbre selon l'audit historique, pas par une
nouvelle mesure runtime OOM dans ce lot.
negative.py compile six mutants puis exige leur rejet : admission ignorée,
abort retiré, false sans masque, réactivation après setter, publication avant
réservation, et clip actif supprimé. Résultats bruts respectifs :
-6,99,-6,-6,-6,-6. Ces SIGABRT sont des assertions de régression intentionnelles,
distinctes du crash A. Le premier essai de l'ajout fading extrayait trop de
texte et échouait à compiler ; les commandes/stderr sont préservés dans
LAB/oom/attempt-4/. La correction resserre le marqueur à la statement exacte.
Aucun échec de compilation n'est reclassé comme résultat produit.
CORE_OOM_C_TESTS=PARTIALLY_FEASIBLE pour ces chemins C. CORE_OOM_ALTERNATIVES_REVIEW=NOT_PROVEN, revue indépendante à acquérir. CORE_PRODUCTION_OOM_POLICY=UNDECIDED.
Recommandation technique, décision humaine restante
C évite l'allocation au moment de l'exposition et préserve la signature, au prix de mémoire sur tous les arbres et d'une nouvelle obligation des create callers. B réduit ce coût aux arbres effectivement clippés et rend l'échec explicite, avec une signature privée différente, un audit d'admission obligatoire et une perte de disponibilité locale possible des popups. A est le plus simple mais transforme une allocation locale en perte du compositeur entier. Préférer l'étude future de C pour un chemin d'exposition sans allocation, comparer son coût réel, et garder B comme alternative si l'admission/recovery des owners peut être qualifiée. Ce conseil ne tranche pas le choix disponibilité/fail-closed.
Prochain plus petit pas : revue indépendante de ces octets puis, sous un futur ticket explicite, qualification d'un seul choix sur compositeur privé complet : injections réelles premières/deuxièmes allocations, hide/return et fullscreen, popups nested avec grabs, saved timeout, reparent/destroy, animations et retour standard, ancien/nouveau damage à chaque échec, input/applied transaction/present, pixels périmés/FX, shutdown et récupération session. Aucun de ces tests natifs n'est autorisé ou annoncé PASS par cette fixture.
STEP20A DONE ; STEP20B EXPERIMENTAL ; STEP20C NEXT ; STEP20D–G PLANNED ; PRODUCTION_MULTI_OUTPUT NOT_YET_SUPPORTED ; PRODUCTION_AUTHORIZED FALSE.