vietreport-admin/solution-erp
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
3595655a5f7aa7b43c150aa8d52057bf5630746d
solution-erp/.claude/workflows/runs/2026-07-31-S164-4gd-khkk-fanout/sub-cicd-verify-k7.md
pqhuy1987 3595655a5f wal: pause
2026-08-01 13:36:33 +07:00

23 KiB
Raw Blame History

CICD-K7: PARTIAL — K7 ĐÃ LIVE & verify sạch (gate 639=45+594 · Mig GIỮ 71 · bundle rotate ×2 marker 8/8 · seeder 0 added + 2 upgraded + COUNT 1→3 · endpoint mới 400-không-403). 2 lệch: run aaed699 bị CANCELLED (ship qua #442, đề-xuất gotcha #86) + restart×2 không quan-sát-được trong cửa-sổ.

sub-cicd-verify-k7 — deploy verify K7 (bridge KHKK→HĐ), S167 2026-08-01

Artifact chống-#53: ghi TỪNG MỤC ngay khi có bằng chứng. Return chỉ là tóm tắt. Baseline PRE đọc từ sub-cicd-verify-k6.md (post-#440): admin js Ig1R5tAh · eoffice js DFOCQ2ks · gate 622=45+577 · Mig 71 · sys.tables 97.

M0 — Push + path-filter (ĐÃ ĐO)

  • HEAD = aaed699228f418fa31ecba07414709de465502fc subject: [CLAUDE] Contract: K7 SP-002 bridge KHKK->HD hoi-2-khoa + Line.ContractId + grant seeder (gate PASS-WITH-FLAGS 10, F-8 fixed) committed: 2026-08-01 13:04:49 +0700
  • git log origin/main..HEAD = RỖNG ⇒ đã push thật.
  • Range 1c6d77a..aaed699 = 7 commit (6 × wal: flush + 1 code).
  • File code trong range (13/13 khớp đề bài):
    • BE (4): Api/Controllers/ContractSigningPlansController.cs · Application/ContractSigningPlans/ContractSigningPlanFeatures.cs · Application/ContractSigningPlans/CreateContractFromSigningPlanFeatures.cs · Infrastructure/Persistence/DbInitializer.cs
    • FE mirror ×2 app (6): fe-{admin,user}/src/hooks/usePipelineStages.ts · .../pages/khkk/KhkkDetailPage.tsx · .../types/khkk.ts
    • Test (3): Api/AuthorizePolicyRegressionTests.cs · Api/KhkkBridgeAuthzTests.cs · Application/CreateContractFromSigningPlanTests.cs
    • (còn lại 14 file đều .claude/** = paths-ignore, KHÔNG trigger)
  • M3-phần-1 (git): git diff --name-only 1c6d77a..aaed699 -- '*Migrations*' = 0 file ⇒ 0-mig chứng-minh-được từ git.
  • Path-filter: có file src/** + fe-*/** ⇒ CI PHẢI chạy (không skip).

M1 — Run Gitea 🔴 PHÁT HIỆN LỚN: run của aaed699 bị CANCELLED, KHÔNG success

Đo lúc 13:09-13:10 qua actions/tasks?limit=3 (khớp theo head_sha, KHÔNG theo run_number):

run head_sha status started updated ghi chú
#441 (id 554) aaed699 🔴 cancelled 13:04:57 13:07:59 sống ~3m02s rồi bị huỷ giữa chừng
#442 (id 555) 628132c running → (đo tiếp) 13:08:26 … run-2 lead báo
#440 (id 553) 1c6d77a success 11:54:38 12:01:07 mốc PRE (K6)

Cơ chế: push 628132c lúc 13:08:26 ⇒ Gitea cancel-in-progress giết run #441 đang chạy. ⇒ Đề bài mục 1 ("run aaed699 success") KHÔNG THOẢ THEO NGHĨA ĐEN — aaed699 chưa bao giờ tự deploy xong.

Nhưng K7 VẪN ship, chứng minh bằng ancestry (không phải suy đoán):

  • git merge-base --is-ancestor aaed699 628132c = YES ⇒ cây của run #442 CHỨA trọn 13 file K7.
  • git diff --name-only aaed699..628132c = 6 file (docs/STATUS.md · fe-{admin,user}/…/KhkkWorkflowPanel.tsx · 3 scripts/*.ps1) — không đụng file K7 nào. ⇒ run #442 = phương-tiện ship DUY NHẤT của K7. Mọi phép đo POST vì thế quy về #442.

🔴 GOTCHA MỚI đề-xuất (#86) — "push-đè nuốt deploy im lặng"

Push code A rồi push B ngay sau (<run-time của A) ⇒ run A cancelled. Nếu B rơi trọn vào paths-ignore (docs/memory-only) thì run B skip ⇒ code A KHÔNG BAO GIỜ deploy, mà bảng Actions trông vẫn "lành" (1 cancelled + 0 run) và git log thì đã push. Lần này thoát NHỜ MAY: 628132c có chạm fe-*/src/** nên mới đẻ run. Luật rút ra: sau 2 push liên tiếp, PHẢI xác minh run cuối cùng có head_sha là TIP và tip ⊇ commit code, chứ không được đọc "có run xanh" là xong.

Hệ quả cho mục 5 (restart-proof): giả định "run-1 + run-2 = restart ×2 miễn phí" của lead KHÔNG còn đúng — run #441 bị giết TRƯỚC bước deploy nên không hề restart pool. Trong cửa sổ này chỉ có 1 lần restart thật (từ #442). Idempotent-qua-2-restart do đó phải hạ cấp thành "chưa chứng-minh-được trong cửa-sổ" (xem M5) — tao KHÔNG tự restart pool prod (READ-only, cấm #6).

M4-PRE — mốc bundle + tập marker (ĐO TRƯỚC khi deploy đè, 13:06-13:07)

Bundle PRE (live, khớp đúng baseline K6 post-#440):

app js css Last-Modified (GMT) size js
admin index-Ig1R5tAh.js index-DqXm5Hpn.css Sat 01 Aug 2026 04:59:40 (=11:59:40 +07) 1.758.853 B
eoffice index-DFOCQ2ks.js index-DlN3yZ5L.css Sat 01 Aug 2026 05:00:41 (=12:00:41 +07) 1.676.752 B

Kiểm-tra-tiền-đề cho marker (bài K6 nâng cấp — kiểm ĐƠN-VỊ-MÃ-HOÁ + ĐỊA-CHỈ trước khi tin 0-hit):

  1. file báo bundle "ASCII text" ⇒ nghi non-ASCII bị \u-escape. Bác bỏ bằng đo: grep -c -F 'Hợp đồng' = 4, 'Kế hoạch' = 3 trên bundle PRE ⇒ tiếng Việt nằm thô (UTF-8), grep -F đọc được. ✅
  2. Nghi code-split (nếu KhkkDetailPage nằm chunk lazy riêng thì marker 0-hit là vô nghĩa): index.html chỉ trỏ đúng 2 asset (index-*.js + index-*.css), và bundle 0 ref dạng "./xxx-<hash>.js" ⇒ single-bundle, không lazy-chunk. ✅
  3. CONTROL DƯƠNG (chứng KhkkDetailPage THẬT nằm trong index-*.js + grep có răng) — 4 chuỗi bản tiền-K7 của chính file đó, đo trên cả 2 bundle PRE: Phiếu nguồn chưa có NCC trúng thầu.=1/1 · Chưa khai căn cứ nào.=1/1 · Giá tham chiếu (phiếu NCC)=1/1 · Tên TVGS xử lý=1/1 ⇒ 4/4 hiện diện. ✅

CONTROL ÂM / tập marker K7 — 0-hit PRE trên CẢ 2 bundle (8/8, grep -c -F):

marker (chuỗi UI nút bridge) adm PRE eof PRE
Đưa dòng kế hoạch vào Hợp đồng 0 0
Chọn dòng đưa vào hợp đồng 0 0
Loại hợp đồng 0 0
Quy trình duyệt hợp đồng 0 0
Phiếu chưa có dòng nhà cung cấp nào. 0 0
khkk-bridge-line 0 0
Tạo hợp đồng 0 0
Chưa có giá chốt 0 0

⇒ marker có tín hiệu thật (0→≥1 mới là bằng chứng ship). Diff FE đối xứng: fe-admin và fe-user mỗi bên +308 dòng KhkkDetailPage.tsx, +61 usePipelineStages.ts, +49 types/khkk.ts (796 insert/40 delete tổng) ⇒ kỳ vọng element-wise 8/8 ở CẢ 2 app.

M3 — Migration (phần git, ĐÃ CHỐT) + prod PRE

  • git: 1c6d77a..aaed699 0 file dưới *Migrations* ⇒ 0-mig. (Range mở rộng tới 628132c cũng 0 — 6 file kia không có Migrations.)
  • prod PRE (sqlcmd 13:06): MIG_TOP = 20260731085624_AddKhkkApprovalGroupCatalogAndFinalizeRuntime = Mig 71 ✅ · sys.tables(is_ms_shipped=0) = 97 ✅ · MenuItems=200 · Permissions=2221 (khớp anchor #438/#440).

M5-PRE — trạng thái quyền Contracts TRƯỚC deploy (mấu chốt K7)

SELECT COUNT(*) FROM Permissions WHERE MenuKey='Contracts' AND CanCreate=1 → PRE = 1 ✅ (đúng dự-đăng-ký của gate-K7) SELECT COUNT(*) … WHERE MenuKey='Contracts' (mọi cờ) → PRE = 13 row (13 role, mỗi role 1 row)

Bảng đầy đủ 13 role PRE — CanRead=1 toàn bộ, CanCreate=1 duy nhất Admin:

role create read role create read
Accounting 0 1 Equipment 0 1
Admin 1 1 Finance 0 1
AuthorizedSigner 0 1 HrAdmin 0 1
CatalogManager 0 1 Procurement 0 1
CostControl 0 1 ProjectManager 0 1
DeptManager 0 1
Director 0 1
Drafter 0 1

⇒ Drafter + Procurement ĐÃ CÓ row sẵn (read=1, create=0) ⇒ seeder phải UPGRADE 2 row, KHÔNG add row nào ⇒ acceptance 0 added + 2 upgraded nhất-quán với trạng thái prod đo được, và kỳ vọng POST: CanCreate=1 → 3 đồng thời tổng row Contracts GIỮ NGUYÊN 13 (nếu thành 15 ⇒ seeder add trùng ⇒ FAIL). Đọc code seeder xác nhận khuôn UPGRADE-ONLY: SeedContractCreateAccessAsync gọi sau revoker, chỉ nâng cờ, không hạ.

M1-bis — run #442 (628132c) = phương-tiện ship K7: SUCCESS

  • start 13:08:26 → settle 13:14:51 = 6m25s (nằm dải bình thường 5m3x-6m3x, không escalate).
  • status success (field conclusion = None như thường lệ với tasks — tin status, đã biết từ trước).
  • URL: https://git.baocaogiaoduc.vn/vietreport-admin/solution-erp/actions/runs/442

M2 — Test gate: 639 = 45 Domain + 594 Infra ✅ KHỚP TUYỆT ĐỐI

Đo LIVE ở web-UI log (/actions/runs/442/jobs/0/logs, 18.695 B) — tách phần, không chỉ khớp tổng:

Passed!  - Failed: 0, Passed:  45, Skipped: 0, Total:  45, Duration: 169 ms  - SolutionErp.Domain.Tests.dll (net10.0)
Passed!  - Failed: 0, Passed: 594, Skipped: 0, Total: 594, Duration: 1 m 47 s - SolutionErp.Infrastructure.Tests.dll (net10.0)
PRE (#440) POST (#442) Δ
Domain 45 45 0
Infrastructure 577 594 +17
tổng 622 639 +17
Failed / Skipped 0 / 0 0 / 0 —

Δ+17 phân rã khớp TỪNG ĐỒNG với nguồn (đếm attr trong repo — an toàn vì 0 [Theory]/[InlineData], hết rủi ro undercount):

  • CreateContractFromSigningPlanTests.cs = 12 [Fact]
  • KhkkBridgeAuthzTests.cs = 5 [Fact]
  • AuthorizePolicyRegressionTests.cs (file sửa, không thêm test) = 0 attr test mới trong diff
  • ⇒ 12 + 5 + 0 = 17 = đúng Δ Infra đo được. ✅

Flaky đã khai: DeleteContractSigningPlan_SoftDeletes_KeepsChangelog_ThenCreateAgainSucceeds (ContractSigningPlanCrudTests.cs:482) — gate báo Skipped 0 / Failed 0 ⇒ XANH lần thứ 4 liên tiếp (#439, #440, local, #442). Chưa có cớ hô hồi-quy.

M3 — Migration GIỮ 71 + sys.tables 97 ✅ (2 nguồn ⟂)

nguồn kết quả
git 1c6d77a..aaed699 -- '*Migrations*' 0 file ⇒ 0-mig
git mở rộng tới 628132c 0 file (6 file của run-2 không có Migrations)
sqlcmd __EFMigrationsHistory TOP 20260731085624_AddKhkkApprovalGroupCatalogAndFinalizeRuntime = Mig 71 (PRE == POST)
sqlcmd COUNT(*) __EFMigrationsHistory 71 (khớp tên-đỉnh — 2 cách đọc độc lập cùng chốt)
sqlcmd sys.tables (is_ms_shipped=0) 97 (PRE == POST)

⇒ NO-Mig proof đủ 2 chân: history KHÔNG tiến + range git rỗng file Migrations. Anchor phụ giữ nguyên: MenuItems 200 · Permissions 2221 · control revoker Hrm*/Off* CanRead=1 = 29.

M4 — Bundle rotate ×2 app ✅ + marker 8/8 element-wise ✅

Hash + LM + size (curl LIVE sau status=success):

app PRE js POST js LM POST (GMT / +07) size PRE→POST Δ
admin Ig1R5tAh RgvHZkPH 06:13:22 / 13:13:22 1.758.853 → 1.765.720 +6.867 B
eoffice DFOCQ2ks D65FJPGd 06:14:22 / 13:14:22 1.676.752 → 1.683.623 +6.871 B
  • LM cả 2 nằm trong cửa-sổ deploy (13:08:26 → 13:14:51) ⇒ ship THẬT, không phải FROZEN-kẹt.
  • Δ size 2 app gần bằng nhau (+6.867 / +6.871) — nhất quán với diff FE mirror đối xứng (+308/+61/+49 dòng mỗi app). Nhân chứng ⟂ grep.
  • CSS giữ nguyên cả 2 (DqXm5Hpn / DlN3yZ5L) — hợp lý: class mới đều là utility Tailwind đã tồn tại, không sinh CSS mới. Không phải cờ đỏ.
  • NHÂN CHỨNG THỨ 4 — log CI in thẳng hash+size, khớp curl tới từng byte: dist/assets/index-RgvHZkPH.js 1,765.72 kB ↔ curl Content-Length: 1765720 ✅ dist/assets/index-D65FJPGd.js 1,683.62 kB ↔ curl Content-Length: 1683623 ✅
  • Chống SPA-fallback trap (#S72): Content-Type: application/javascript cho cả 2 hash mới; hash BỊA index-ZZZZfake9.js → text/html 900 B ✅ discriminator còn răng; hash CŨ Ig1R5tAh → text/html 900 B ⇒ bundle cũ đã biến khỏi đĩa = chứng ghi-đè (control âm tầng-2) ✅

Marker (đo bằng grep -c -F — KHÔNG regex-neo-quote, đúng recipe K6):

marker ADM pre→post EOF pre→post
Đưa dòng kế hoạch vào Hợp đồng 0 → 1 0 → 1
Chọn dòng đưa vào hợp đồng 0 → 1 0 → 1
Loại hợp đồng 0 → 1 0 → 1
Quy trình duyệt hợp đồng 0 → 1 0 → 1
Phiếu chưa có dòng nhà cung cấp nào. 0 → 1 0 → 1
khkk-bridge-line 0 → 1 0 → 1
Tạo hợp đồng 0 → 1 0 → 1
Chưa có giá chốt 0 → 1 0 → 1
CONTROL DƯƠNG Phiếu nguồn chưa có NCC trúng thầu. 1 → 1 1 → 1
CONTROL DƯƠNG Chưa khai căn cứ nào. 1 → 1 1 → 1
CONTROL ÂM ĐỘC-QUYỀN …vào Hợp đồng XYZ (bịa) 0 → 0 0 → 0
CONTROL ÂM ĐỘC-QUYỀN khkk-bridge-line-nonexistent 0 → 0 0 → 0

⇒ 8/8 × 2 app, control dương giữ, control âm câm ⇒ tín hiệu sạch cả 2 chiều.

TRÍCH BYTE THẬT (bắt buộc trước khi kết luận — bài K6):

ADMIN   idx=1667835 : …title:`Đưa dòng kế hoạch vào Hợp đồng`,footer:(0,N.jsxs)(N.Fragment,…
ADMIN   idx=1669865 : …jsx)(`input`,{type:`radio`,name:`khkk-bridge-line`,checked:a===e.id,…
EOFFICE idx=1501164 : …title:`Đưa dòng kế hoạch vào Hợp đồng`,footer:(0,F.jsxs)(F.Fragment,…
EOFFICE idx=1503194 : …jsx)(`input`,{type:`radio`,name:`khkk-bridge-line`,checked:a===e.id,…

🔑 Xác nhận lại bài K6: rolldown/Vite-8 minify literal thành BACKTICK (title:`…`) — regex neo ["'] sẽ 0-hit GIẢ. grep -F là đúng công cụ. 2 app chỉ khác tên biến module (N vs F) = minifier, code y hệt.

Kiểm-tra-tiền-đề đã làm TRƯỚC khi tin marker (ghi lại vì suýt sập bẫy mới): file báo bundle "ASCII text" ⇒ nghi \u-escape ⇒ bác bỏ bằng đo (grep -c -F 'Hợp đồng'=4 trên bundle PRE); và nghi code-split ⇒ bác bỏ bằng đo (index.html chỉ 2 asset, 0 ref "./x-<hash>.js"). Cả 2 nghi ngờ đều SAI, nhưng nếu không đo mà kết luận "0-hit = chưa ship" thì đã FAIL-OAN như K6.

M5 — 🎯 K7-đặc-thù: seeder grant restart-proof (#75/#76)

(a) Log API — dòng acceptance CHỐT bởi gate-K7: CÓ, verbatim ✅

2026-08-01 13:14:40.592 +07:00 [INF] Seeded Contracts.Create access: 0 added + 2 upgraded
   (K7 cầu KHKK→HĐ - Drafter/Procurement/Admin; câu III default chờ ratify)

(C:\inetpub\solution-erp\api\logs\solution-erp-20260801.log; ký tự Việt hiển thị lỗi do console codepage, không phải log hỏng.)

Chứng restart THẬT (3 chân kiềng, không đọc số lúc running):

  1. Dòng ĐẦU TIÊN của log = 13:14:33.867 [INF] Applying migrations... ⇒ tiến trình khởi động mới.
  2. w3wp PID 7008, StartTime = 13:14:27 — và map PID→pool bằng appcmd list wp xác nhận WP "7008" (applicationPool:SolutionErp-Api). ⚠️ Map này KHÔNG thừa: PID 7680 cũng start 13:13:09 nhưng là vietreport-admin (dự án khác) — đọc vội sẽ tưởng pool ta restart 2 lần.
  3. Cả 3 mốc (13:14:27 / :33 / :40) nằm gọn trong cửa-sổ run #442 (13:08:26 → 13:14:51). ✅

(b) sqlcmd đếm row — PRE 1 → POST 3 ✅

phép đo PRE (13:06) POST (13:16) phán
COUNT(*) Permissions WHERE MenuKey='Contracts' AND CanCreate=1 1 3 ✅ đúng kỳ vọng
COUNT(*) Permissions WHERE MenuKey='Contracts' (mọi cờ) 13 13 ✅ KHÔNG đẻ row ⇒ chứng "0 added"
COUNT(*) Permissions (toàn hệ) 2221 2221 ✅ hệ quả tất yếu của 0-added

3 role có CanCreate=1 POST + hình-dạng cờ (không chỉ đếm):

Admin       | create=1 read=1 upd=1 del=1   ← vốn đã đủ từ trước (không bị đụng)
Drafter     | create=1 read=1 upd=0 del=0   ← NÂNG, và KHÔNG tràn sang Update/Delete
Procurement | create=1 read=1 upd=0 del=0   ← NÂNG, và KHÔNG tràn sang Update/Delete

⇒ vừa đúng số, vừa đúng hình dạng (không over-grant) — thứ mà đếm-tổng đơn thuần không thấy được.

(c) Idempotent — ⚠️ PARTIAL: chứng ở tầng-row (ĐO ĐƯỢC), chưa chứng ở tầng restart×2 (không quan-sát-được)

Đo được (mạnh): STARTUP_COUNT('Applying migrations...') trong log = 1 ⇒ trong cửa-sổ này pool SolutionErp-Api restart đúng 1 lần. Giả định của lead "run-1 + run-2 = restart ×2 miễn phí" KHÔNG thành vì run #441 bị giết trước bước deploy (M1) ⇒ không có lần restart thứ hai để đo. Tao KHÔNG tự recycle pool prod (READ-only, anti-pattern #6/#8).

Nhưng nhánh no-op ĐÃ CHẠY THẬT và đo được — nhờ Admin đóng vai control sẵn có: code đếm (DbInitializer.cs, diff K7):

if (existing.TryGetValue(role.Id, out var row)) {
    var changed = false;
    if (!row.CanRead)   { row.CanRead   = true; changed = true; }
    if (!row.CanCreate) { row.CanCreate = true; changed = true; }
    if (changed) upgraded++;      // ← CHỈ tăng khi cờ THỰC SỰ lật
    continue;                     // ← row có sẵn ⇒ KHÔNG BAO GIỜ Add
}

Seeder chạy trên 3 role nhưng báo 2 upgraded (không phải 3) ⇒ Admin bị bỏ qua vì đã đúng sẵn ⇒ đó chính là nhánh idempotent, đã thực thi trên prod và đo được, chứ không phải suy từ code.

Suy (chưa đo — khai rõ): restart lần 2, cả 3 row đã ở trạng thái đích ⇒ added=0, upgraded=0 ⇒ do guard if (added > 0 || upgraded > 0) bọc câu log, sẽ KHÔNG in gì cả (IM LẶNG) — chứ không in 0 added + 0 upgraded. 🔎 Ai verify lần sau: đừng đọc "log không có dòng seeder" thành hồi-quy — đó là hình-dạng ĐÚNG của lần 2. Phép đo rẻ nhất cho (c) ở deploy kế: đếm lại COUNT (phải vẫn 3) + STARTUP_COUNT (phải ≥1 ở log mới).

M6 — Smoke ✅ (kể cả endpoint MỚI)

Bearer admin OK (accessToken len=468, roles=['Admin']).

phép thử kỳ vọng thực đo
POST /api/auth/login (admin) 200 + token 200, token 468 ký tự ✅
GET /api/contracts 200 200 ✅
GET /api/purchase-evaluations 200 200 ✅
GET /api/menus 200 200 ✅
GET /api/contract-signing-plans 200 200 ✅
control âm GET /api/contracts KHÔNG token 401 401 ✅
control âm GET /api/bogus-route-xyz + admin 404 404 ✅
🎯 MỚI POST /api/contract-signing-plans/{0-guid}/create-contract + admin 404/400, KHÔNG 403 400 ✅
🎯 MỚI cùng endpoint, không token 401 401 ✅

Wire-proof mạnh hơn cả mã số — thân 400 là lỗi bind/validate của chính command K7, tức request đã đi xuyên authz vào tới FluentValidation:

{"status":400,"errors":{"PlanId":["'Plan Id' must not be empty."],
                        "ApprovalWorkflowId":["'Approval …"]}}

⇒ endpoint đã wire thật, policy không chặn nhầm Admin. (403 mới là FAIL — không xảy ra.)

⚠️ Hạn chế trung thực — tầng-2 (#82) của Drafter CHƯA đo LIVE được

nv.test@solutions.com.vn / TestUser@123456 → 401 "Email hoặc mật khẩu không đúng" (tài khoản UAT không đăng nhập được ở thời điểm đo). Vì vậy:

  • Đã đo: row Contracts của Drafter/Procurement có CanCreate=1 (tầng dữ-liệu/hiển-thị).
  • CHƯA đo: một principal Drafter thật gọi endpoint và KHÔNG bị 403 (tầng API-authz).
  • Bằng chứng thay thế (CI, không phải prod): KhkkBridgeAuthzTests 5/5 PASS trong gate #442.
  • ⚠️ Admin qua được không tách bạch được công của row vs admin-bypass (chính comment seeder cũng nói vậy) ⇒ không dùng kết quả Admin để tuyên bố grant Drafter đã ăn ở tầng API. Đề nghị: UAT đăng nhập 1 tài khoản Drafter thật bấm nút, hoặc cấp lại mật khẩu nv.test rồi đo lại 1 lệnh curl.

📌 UAT — NÓI TRƯỚC (ghi theo yêu cầu lead)

Nút "Đưa vào Hợp đồng" chỉ sáng cho Drafter / Procurement SAU KHI USER ĐĂNG XUẤT & ĐĂNG NHẬP LẠI. Lý do: menu/permission được client cache sau lần login trước; quyền Contracts vừa được nâng ở phía server lúc 13:14:40 hôm nay nên phiên đang mở vẫn mang bộ quyền CŨ. Không phải lỗi deploy, không cần báo bug — chỉ cần re-login. (Admin không thấy khác biệt vì vốn đã có quyền.)

Tổng kết 6 mục

# Mục Phán Bằng chứng gọn
1 Run aaed699 success 🔴 LỆCH #441 cancelled 13:07:59 (bị push 628132c giết); K7 ship qua #442 success 6m25s, ancestry aaed699 ⊂ 628132c đã verify
2 Gate 639 = 45+594 ✅ PASS log web-UI tách phần; Δ+17 = 12+5 [Fact] khớp từng đồng; 0 fail/0 skip; flaky xanh lần 4
3 Mig 71 + tables 97 ✅ PASS git 0-file Migrations ⟂ sqlcmd TOP + COUNT=71 + sys.tables=97
4 Bundle rotate ×2 + marker ✅ PASS Ig1R5tAh→RgvHZkPH, DFOCQ2ks→D65FJPGd; LM in-window; hash+size khớp log CI; marker 8/8 × 2 app + 2 control dương + 2 control âm
5 Seeder restart-proof 🟡 PARTIAL (a) log verbatim 0 added + 2 upgraded ✅ (b) COUNT 1→3, row 13→13 ✅ (c) restart×2 không quan-sát-được (chỉ 1 startup) — nhánh no-op vẫn chứng được qua Admin
6 Smoke + endpoint mới ✅ PASS 4 GET 200 · 401/404 control · endpoint mới 400 (không 403) + 401 khi thiếu token; ⚠️ Drafter-live chưa đo (login UAT hỏng)

Việc cần lead xử:

  1. Gotcha #86 (đề xuất mới) — push-đè nuốt deploy: nếu commit thứ 2 rơi trọn paths-ignore thì code commit thứ 1 im lặng không bao giờ lên prod. Lần này thoát nhờ may. Luật: sau 2 push liên tiếp phải kiểm "run cuối có head_sha = TIP" và "TIP ⊇ commit code".
  2. Mở lại tài khoản UAT nv.test (hoặc cấp 1 Drafter khác) để đóng nốt tầng-2 #82 cho K7.
  3. Deploy kế: đếm lại Contracts/CanCreate=1 (phải vẫn 3) để khép mục 5(c).

END cicd-k7 — VERDICT=PARTIAL (K7 ĐÃ LIVE, 4/6 PASS sạch + 1 LỆCH-cơ-chế run bị huỷ + 1 PARTIAL restart×2 không quan-sát-được; 0 defect trong code K7)