3.7 KiB
3.7 KiB
通知目标与真实派发链路审计
日期：2026-07-23
范围：事件中心 → 自动化执行动作 → 通知记录 → 外部渠道派发
健康度
已从“规则只保存渠道名、外部通知重新入队后无人消费”提升为端到端可审计链路。自动化只能选择服务端声明就绪的渠道和接收组；站内信写入即送达，外部通知由独立派发器租约领取，只有可信网关返回非空服务商消息 ID 才标记发送成功。生产短信、邮件和企业通讯仍需配置真实网关并完成签名 canary，本轮没有伪造第三方送达结论。
发现与修复
- 原动作页只有“仅记录 / 站内通知 / 高优先级通知”，没有接收人或接收组，却显示“真实可用”；现在改为渠道与接收组矩阵，未配置网关的渠道不可选择。
- 规则新增
notificationTargets[]，保存{channel, recipientId, label}引用；旧notificationChannels继续作为兼容字段并由目标归一化生成。外部渠道没有目标时服务端拒绝发布。 - 目标目录由
ALERT_NOTIFICATION_TARGETS_JSON提供，前端只读取不含手机号、邮箱、网关 URL 和密钥的安全引用目录。 - 新增独立
alert-notification-dispatcher：使用FOR UPDATE SKIP LOCKED、有界批次和过期租约领取reserved记录，避免多实例重复发送。 - 网关请求包含 HMAC-SHA256 签名、时间戳、通知 ID 和“通知 + 尝试序号”幂等键；租约令牌不会进入外部载荷。
- 网关 2xx 但没有
messageId或X-Provider-Message-ID时仍按失败保存，防止把“HTTP 接收”误报成真实送达。 - 通知记录新增队列健康条，5 秒展示待发送、失败、需人工处置、活动租约以及各渠道就绪状态；死信沿用三次受控尝试上限，不额外制造另一套状态机。
- 自动化动作配置在桌面端改为四列紧凑渠道卡，移动端隐藏重复技术说明并保留清晰目标选择；自动恢复在 390 × 844 首屏内可见，固定主操作不随内容滚动。
- 迁移
035_alert_notification_dispatch.sql、systemd 服务、发布安装器、构建命令、环境变量和接口契约已同步，发布器会继承或原子替换派发器二进制。
证据
- 改造前只有通知模式且没有目标：
01-before-action-without-targets.png - 桌面端渠道与接收组：
02-after-target-routing-desktop.png - 桌面端选择短信与夜班负责人：
03-after-external-target-selected.png - 390 × 844 移动端目标配置：
04-after-target-routing-mobile.png - 移动端队列健康：
05-notification-health-mobile.png - 桌面端队列健康与送达列表：
06-notification-health-desktop.png
验证
go test ./...：通过，包含派发批次、租约结果、HMAC、幂等键和模糊 2xx 拒绝测试- Web 正式套件：78 个测试文件、518 项测试通过
- 事件中心专项：45 项测试通过
- Web 正式构建、完整根构建与发布安装器测试：通过
- 真实浏览器：1440 × 900 与 390 × 844；只修改未发布草稿并主动放弃，没有写入规则或发送通知
无障碍与限制
- 渠道使用具名复选框，目标选择器按渠道提供可访问名称；必选目标缺失时在固定页脚给出阻断原因。队列健康是独立 region，刷新按钮与指标具有可访问文本。
- 桌面与移动端均保持单一编辑内容滚动和固定主要操作，没有新增横向滚动；颜色之外同时使用文字与数值表达渠道/失败状态。
- 本轮未执行屏幕阅读器人工走查，也没有第三方生产凭据、限流策略、异步回调或真实 SLO 数据。生产启用前必须逐渠道验证签名、防重、超时、服务商消息 ID 和失败告警。